Ledger và Trezor kêu gọi tiết lộ có trách nhiệm các lỗ hổng bảo mật

ChainCatcher đưa tin, nhà sản xuất ví phần cứng Ledger và Trezor kêu gọi các chuyên gia bảo mật áp dụng cách tiết lộ lỗ hổng có trách nhiệm hơn. Charles Guillemet, CTO của Ledger, đăng bài trên nền tảng X cho biết, trí tuệ nhân tạo đã khiến việc phát hiện và khai thác lỗ hổng trở nên dễ dàng hơn, nhưng một số chuyên gia công khai chi tiết trước khi bản vá được phát hành, ông gọi hành động này là “lợi dụng rủi ro của người khác để thu hút sự chú ý”. Guillemet khuyến nghị các chuyên gia nên báo cáo lỗ hổng riêng tư trước, thống nhất thời gian sửa chữa rồi mới công khai chi tiết; ông đề xuất thời hạn mặc định phổ biến là 90 ngày, đồng thời cho biết có thể điều chỉnh linh hoạt tùy theo mức độ nghiêm trọng của lỗ hổng và khối lượng công việc cần thiết để vá. Jan Komárek, giám đốc an ninh của Trezor, cho Cointelegraph biết rằng 90 ngày là cam kết dành cho nhà sản xuất, chứ không chỉ là nghĩa vụ của các chuyên gia. Ông đề xuất các chuyên gia nên liên hệ trước với nhà sản xuất để thống nhất lịch trình; nếu nhà sản xuất không hoàn thành việc vá trong thời hạn này, họ có thể chọn công khai tiết lộ. Phát biểu này được đưa ra trong bối cảnh độ an toàn của ví phần cứng gần đây nhận được sự quan tâm đặc biệt: sự cố bị đánh cắp của Coldcard liên quan đến số tiền vượt quá 100 triệu USD, đồng thời rò rỉ dữ liệu từ nhà cung cấp logistics của Trezor cũng ảnh hưởng đến thông tin cá nhân của hàng chục nghìn khách hàng.