Lines Matching refs:de

7 Problemas de hardware embargados
13 Los problemas de hardware que resultan en problemas de seguridad son una
14 categoría diferente de errores de seguridad que los errores de software
15 puro que solo afectan al kernel de Linux.
17 Los problemas de hardware como Meltdown, Spectre, L1TF, etc. deben
18 tratarse de manera diferente porque usualmente afectan a todos los
20 vendedores diferentes de OS, distribuciones, vendedores de hardware y
21 otras partes. Para algunos de los problemas, las mitigaciones de software
22 pueden depender de actualizaciones de microcódigo o firmware, los cuales
30 El equipo de seguridad de hardware del kernel de Linux es separado del
31 equipo regular de seguridad del kernel de Linux.
33 El equipo solo maneja la coordinación de los problemas de seguridad de
34 hardware embargados. Los informes de errores de seguridad de software puro
35 en el kernel de Linux no son manejados por este equipo y el "reportero"
36 (quien informa del error) será guiado a contactar el equipo de seguridad
37 del kernel de Linux (:doc:`errores de seguridad <security-bugs>`) en su
41 <hardware-security@kernel.org>. Esta es una lista privada de oficiales de
42 seguridad que lo ayudarán a coordinar un problema de acuerdo con nuestro
46 enviado por PGP o S/MIME encriptado y debe estar firmado con la llave de
47 PGP del reportero o el certificado de S/MIME. La llave de PGP y el
48 certificado de S/MIME de la lista están disponibles en las siguientes
54 Si bien los problemas de seguridad del hardware a menudo son manejados por
55 el vendedor de hardware afectado, damos la bienvenida al contacto de
56 investigadores o individuos que hayan identificado una posible falla de
59 Oficiales de seguridad de hardware
62 El equipo actual de oficiales de seguridad de hardware:
68 Operación de listas de correo
71 Las listas de correo encriptadas que se utilizan en nuestro proceso están
72 alojados en la infraestructura de IT de la Fundación Linux. Al proporcionar
73 este servicio, los miembros del personal de operaciones de IT de la
74 Fundación Linux técnicamente tienen la capacidad de acceder a la
76 contrato de trabajo. El personal de IT de la Fundación Linux también es
77 responsable para operar y administrar el resto de la infraestructura de
80 El actual director de infraestructura de proyecto de IT de la Fundación
83 Acuerdos de no divulgación
86 El equipo de seguridad de hardware del kernel de Linux no es un organismo
87 formal y, por lo tanto, no puede firmar cualquier acuerdo de no
88 divulgación. La comunidad del kernel es consciente de la naturaleza
89 delicada de tales problemas y ofrece un Memorando de Entendimiento en su
92 Memorando de Entendimiento
95 La comunidad del kernel de Linux tiene una comprensión profunda del
96 requisito de mantener los problemas de seguridad de hardware bajo embargo
97 para la coordinación entre diferentes vendedores de OS, distribuidores,
98 vendedores de hardware y otras partes.
100 La comunidad del kernel de Linux ha manejado con éxito los problemas de
102 permitir el desarrollo compatible con la comunidad bajo restricciones de
105 La comunidad del kernel de Linux tiene un equipo de seguridad de hardware
106 dedicado para el contacto inicial, el cual supervisa el proceso de manejo
107 de tales problemas bajo las reglas de embargo.
109 El equipo de seguridad de hardware identifica a los desarrolladores
110 (expertos en dominio) que formarán el equipo de respuesta inicial para un
111 problema en particular. El equipo de respuesta inicial puede involucrar
112 más desarrolladores (expertos en dominio) para abordar el problema de la
117 violación de la promesa conducirá a la exclusión inmediata del problema
118 actual y la eliminación de todas las listas de correo relacionadas.
119 Además, el equipo de seguridad de hardware también excluirá al
120 delincuente de problemas futuros. El impacto de esta consecuencia es un
121 elemento de disuasión altamente efectivo en nuestra comunidad. En caso de
122 que ocurra una violación, el equipo de seguridad de hardware informará a
124 conocimiento de una posible violación, por favor, infórmelo inmediatamente
125 a los oficiales de seguridad de hardware.
131 de Linux, las reuniones cara a cara hacen imposible abordar los
132 problemas de seguridad del hardware. Las conferencias telefónicas son
133 difíciles de coordinar debido a las zonas horarias y otros factores y
135 electrónico encriptado ha demostrado ser el método de comunicación más
136 efectivo y seguro para estos tipos de problemas.
138 Inicio de la divulgación
141 La divulgación comienza contactado al equipo de seguridad de hardware del
142 kernel de Linux por correo electrónico. Este contacto inicial debe
143 contener una descripción del problema y una lista de cualquier hardware
148 El equipo de seguridad de hardware proporcionará una lista de correo
152 El equipo de seguridad de hardware proporcionará a la parte reveladora una
153 lista de desarrolladores (expertos de dominios) a quienes se debe informar
154 inicialmente sobre el problema después de confirmar con los
155 desarrolladores que se adherirán a este Memorando de Entendimiento y al
156 proceso documentado. Estos desarrolladores forman el equipo de respuesta
157 inicial y serán responsables de manejar el problema después del contacto
158 inicial. El equipo de seguridad de hardware apoyará al equipo de
159 respuesta, pero no necesariamente involucrandose en el proceso de desarrollo
160 de mitigación.
163 acuerdo de no divulgación a través de su empleador, no pueden firmar
164 acuerdos individuales de no divulgación en su papel de desarrolladores
165 del kernel de Linux. Sin embargo, aceptarán adherirse a este proceso
166 documentado y al Memorando de Entendimiento.
168 La parte reveladora debe proporcionar una lista de contactos para todas
172  - La lista de entidades divulgadas permite la comunicación en toda la
173    industria, por ejemplo, otros vendedores de OS, vendedores de HW, etc.
176    que deben participar en el desarrollo de la mitigación.
179    una entidad cotizada o un miembro de una entidad cotizada, los equipos
180    de respuesta pueden solicitar la divulgación de ese experto a esa
181    entidad. Esto asegura que el experto también forme parte del equipo de
182    respuesta de la entidad.
187 La parte reveladora proporcionará información detallada al equipo de
188 respuesta inicial a través de la lista de correo encriptada especifica.
190 Según nuestra experiencia, la documentación técnica de estos problemas
191 suele ser un punto de partida suficiente y es mejor hacer aclaraciones
194 Desarrollo de la mitigación
197 El equipo de respuesta inicial configura una lista de correo encriptada o
200 El uso de una lista de correo está cerca del proceso normal de desarrollo
201 de Linux y se ha utilizado con éxito en el desarrollo de mitigación para
202 varios problemas de seguridad de hardware en el pasado.
204 La lista de correo funciona en la misma manera que el desarrollo normal de
207 desarrolladores participantes a través de una conexión segura. El
208 repositorio contiene la rama principal de desarrollo en comparación con
212 El equipo de respuesta inicial identificará a más expertos de la
213 comunidad de desarrolladores del kernel de Linux según sea necesario. La
214 incorporación de expertos puede ocurrir en cualquier momento del proceso
215 de desarrollo y debe manejarse de manera oportuna.
217 Si un experto es empleado por o es miembro de una entidad en la lista de
219 la participación de la entidad pertinente.
222 participación de los expertos. Los expertos están cubiertos por el
223 Memorando de Entendimiento y se solicita a la parte reveladora que
224 reconozca la participación. En caso de que la parte reveladora tenga una
226 dentro de los cinco días laborables y resolverse con el equipo de
227 incidente inmediatamente. Si la parte reveladora no reacciona dentro de
230 Después del reconocimiento o la resolución de una objeción, el experto es
231 revelado por el equipo de incidente y se incorpora al proceso de
239 árboles de kernel relevantes y se publican.
241 Si bien entendemos que los problemas de seguridad del hardware requieren
242 un tiempo de embargo coordinado, el tiempo de embargo debe limitarse al
244 desarrollen, prueben y preparen las mitigaciones. Extender el tiempo de
245 embargo artificialmente para cumplir con las fechas de discusión de la
247 para los desarrolladores y los equipos de respuesta involucrados, ya que
251 Asignación de CVE
254 Ni el equipo de seguridad de hardware ni el equipo de respuesta inicial
255 asignan CVEs, ni se requieren para el proceso de desarrollo. Si los CVEs
256 son proporcionados por la parte reveladora, pueden usarse con fines de
264 orientación sobre el proceso de reporte y el manejo posterior. Los
265 embajadores no están involucrados en la divulgación de un problema en
266 particular, a menos que lo solicite un equipo de respuesta o una parte
267 revelada involucrada. La lista de embajadores actuales:
274   IBM Z		Christian Borntraeger <borntraeger@de.ibm.com>
293 Si quiere que su organización se añada a la lista de embajadores, por
294 favor póngase en contacto con el equipo de seguridad de hardware. El
297 de Linux.
299 Listas de correo encriptadas
302 Usamos listas de correo encriptadas para la comunicación. El principio de
303 funcionamiento de estas listas es que el correo electrónico enviado a la
304 lista se encripta con la llave PGP de la lista o con el certificado S/MIME
305 de la lista. El software de lista de correo descifra el correo electrónico
308 de la lista de correo y la configuración que se usa para asegurar la
309 seguridad de las listas y la protección de los datos se pueden encontrar
312 Llaves de lista
315 Para el contacto inicial, consulte :ref:`Contacto`. Para las listas de
316 correo especificas de incidentes, la llave y el certificado S/MIME se
320 Suscripción a listas específicas de incidentes
323 La suscripción es manejada por los equipos de respuesta. Las partes
324 reveladas que quieren participar en la comunicación envían una lista de
325 suscriptores potenciales al equipo de respuesta para que el equipo de
326 respuesta pueda validar las solicitudes de suscripción.
328 Cada suscriptor necesita enviar una solicitud de suscripción al equipo de
331 llave PGP, debe estar disponible desde un servidor de llave publica y esta
332 idealmente conectada a la red de confianza PGP del kernel de Linux. Véase
335 El equipo de respuesta verifica que la solicitud del suscriptor sea válida
336 y añade al suscriptor a la lista. Después de la suscripción, el suscriptor
337 recibirá un correo electrónico de la lista que está firmado con la llave
338 PGP de la lista o el certificado S/MIME de la lista. El cliente de correo
340 S/MIME de la firma, de modo que el suscriptor pueda enviar correo