Khái niệm "vulnerability" được hiểu như thế nào là chính xác?

[Duyduy8080]

Mình có đọc bài viết tại trang này http://www.vnsecurity.net/research/2...-mat-tien.html đại khái là ở phần bình luận có 01 cuộc tranh luận khá hấp dẫn về khái niệm thế nào là vulnerability giữa một bạn Thanh Nguyen và bạn Frank ng. Người thì nói lỗ hổng thì phải exploit được mới gọi là vulnerability, người thì nói chỉ cần phát hiện không nhất thiết phải chứng minh exploit được. Rồi ai cũng đưa tài liệu chứng minh cho luận điểm của mình. Mình thấy ai cũng có lý, mình muốn đưa lên đây để tham khảo ý kiến của các bạn. Chẳng hạn mình thấy một số trang có lỗi SQL, tài khoản admin và mật khẩu bị public tùm lum trên mạng nhưng không tìm được link admin nên không đăng nhập được (không exploit được). Như vậy trong trường hợp này rõ ràng là thấy lỗi mà không exploit được thì có phải là vulnerability hay không? Xin ý kiến của các cao nhân

 

Có một số tổ chức cũng đưa ra định nghĩa thế nào là một vulnerability: Tựu chung lại thì phải bị khai thác mới được gọi là vulerability.

Nguyên văn bạn có thể xem:

"ISO 27005 defines vulnerability as:[SUP][3][/SUP]A weakness of an asset or group of assets that can be exploited by one or more threats
where an asset is anything that has value to the organization, its business operations and their continuity, including information resources that support the organization's mission[SUP][4][/SUP]

IETF RFC 2828 define vulnerability as:[SUP][5][/SUP]A flaw or weakness in a system's design, implementation, or operation and management that could be exploited to violate the system's security policy
The Committee on National Security Systems of United States of America defined vulnerability in CNSS Instruction No. 4009 dated 26 April 2010 National Information Assurance Glossary:[SUP][6][/SUP]Vulnerability — Weakness in an IS, system security procedures, internal controls, or implementation that could be exploited
Many NIST publications define vulnerability in IT contest in different publications: FISMApedia[SUP][7][/SUP] term[SUP][8][/SUP] provide a list. Between them SP 800-30,[SUP][9][/SUP] give a broader one: A flaw or weakness in system security procedures, design, implementation, or internal controls that could be exercised (accidentally triggered or intentionally exploited) and result in a security breach or a violation of the system's security policy.
ENISA defines vulnerability in[SUP][10][/SUP] as: The existence of a weakness, design, or implementation error that can lead to an unexpected, undesirable event [G.11] compromising the security of the computer system, network, application, or protocol involved.(ITSEC) "

 

Theo ý kiến mình thì nếu không khai thác được thì chưa thể coi là lỗ hổng được. Còn nếu mới chỉ phát hiện ra mà không khai thác được thì gọi là điểm yếu (weakness/flaw).
Theo wikipedia thì lỗ hổng là giao của 3 yếu tố: một hệ thống có điểm yếu, kẻ tấn công tiếp cận điểm yếu, và kẻ tấn công có khả năng khai thác điểm yếu đó.
"Vulnerability is the intersection of three elements: a system susceptibility or flaw, attacker access to the flaw, and attacker capability to exploit the flaw."