Responsible DisclosurevsZero-Day

Responsible Disclosure

Responsible Disclosure 是安全研究者发现漏洞后的道德规范：先私下通知厂商，给予合理修复时间（通常 90 天），修复后再公开漏洞细节。

Zero-Day

Zero-Day 是厂商尚不知道或尚未修复的漏洞，意味着没有补丁可打、没有签名可检测。国家级黑客组织和高级 APT 常使用 Zero-Day 进行攻击，一个高价值 Zero-Day 在黑市上可卖数百万美元。

Responsible Disclosure

• 先通知厂商，给修复时间
• 通常 90 天的披露窗口
• Google Project Zero 推动了行业标准

Zero-Day

• 厂商不知道 = 没有补丁 = 无法防御
• 黑市价格从数万到数百万美元不等
• Google Project Zero 是最活跃的 Zero-Day 研究团队

Responsible Disclosure

发现漏洞后先通知厂商修复再公开细节的安全披露规范

Zero-Day

厂商尚未知晓或尚未发布修复补丁的安全漏洞

Responsible Disclosure

• 安全研究者的漏洞报告
• 企业漏洞响应流程的建立
• Bug Bounty 项目的运营

Zero-Day

• 国家级网络攻击
• 高价值目标的定向渗透
• 安全研究和漏洞赏金

Responsible Disclosure

负责任披露是安全社区的核心道德规范。流程：发现漏洞 → 私下报告给厂商 → 等待修复（90 天）→ 公开披露。Google Project Zero 的 90 天政策成为行业标准。与之对立的是 Full Disclosure（直接公开）和 Zero-day 交易（卖给攻击者）。Bug Bounty 平台（HackerOne、Bugcrowd）为负责任披露提供了制度化的渠道。

Zero-Day

Zero-Day 得名于厂商发现漏洞时已有 0 天时间来修复。这类漏洞是网络攻击中最危险的武器，因为传统的基于签名的防御完全无效。Zero-Day 的生命周期：发现 → 利用（或出售）→ 厂商获知 → 发布补丁 → 用户更新。缩短这个周期是安全行业的核心目标。Bug Bounty 计划激励研究者向厂商报告而非出售给黑市。行为检测和零信任架构是应对 Zero-Day 的主要防御策略。