Tyskland uppmanar webbplatsoperatörer att publicera security.txt-filer

Tysklands federala cybersäkerhetsmyndighet uppmanar företag, offentliga organ och webbplatsadministratörer att publicera en security.txt-fil på sina webbplatser.

Bundesamt für Sicherheit in der Informationstechnik, mer känt som BSI, säger att den enkla åtgärden kan göra ansvarsfull rapportering av sårbarheter betydligt snabbare. Det ger också organisationer mer tid att reagera innan angripare upptäcker och utnyttjar samma svaghet.

Trots att implementeringen kräver liten arbetsinsats uppger myndigheten att endast 1,8 procent av tyska webbplatsoperatörer för närvarande tillhandahåller en security.txt-fil.

Vad en security.txt-fil gör

En security.txt-fil är ett standardiserat dokument som placeras på en webbserver. Den ger säkerhetsforskare, incidenthanteringsteam och etiska hackare tydliga instruktioner för hur de ska rapportera en sårbarhet.

Forskare har ofta svårt att hitta rätt person eller team att kontakta efter att de har identifierat ett säkerhetsproblem. De kan behöva söka igenom företagswebbplatser, supportportaler och konton på sociala medier innan de hittar en lämplig kontaktadress.

Den fördröjningen kan skapa verkliga risker. En sårbarhet kan förbli orapporterad eller olöst samtidigt som cyberkriminella letar efter sätt att utnyttja den.

Genom att publicera en särskild fil försvinner mycket av denna osäkerhet. Den kan innehålla en e-postadress till en säkerhetskontakt, en rapporteringspolicy, krypteringsinformation och andra relevanta uppgifter.

En enkel väg för att rapportera sårbarheter

BSI uppger att operatörer endast behöver ange kontaktuppgifter och ett utgångsdatum för att komma igång. Filen måste finnas tillgänglig på:

/.well-known/security.txt

När den finns på plats kan forskare snabbt hitta organisationens föredragna kanal för rapportering. Säkerhetsteam kan sedan undersöka problemet och åtgärda det snabbare.

Metoden hjälper företag, myndigheter och andra organisationer att hantera rapporter på ett mer strukturerat sätt. Den underlättar också för Computer Emergency Response Teams, så kallade CERT-team, när de behöver kontakta en berörd organisation.

Enligt BSI kan den lilla arbetsinsats som krävs ge betydande säkerhetsfördelar.

Tyskland vill se bredare användning

BSI och Alliance for Cybersecurity uppmanar nu webbansvariga, administratörer och webbplatsägare i hela Tyskland att införa standarden.

En bredare användning av security.txt-filen kan stärka landets cyberresiliens genom att minska tiden mellan upptäckt och åtgärd av en sårbarhet. Den kan också göra ansvarsfull rapportering enklare för forskare som vill rapportera problem på ett säkert sätt.

Vissa EU-länder har redan valt en striktare linje. I Nederländerna måste flera offentliga organ, däribland kommuner, provinser och vattenorganisationer, använda security.txt. Andra offentliga institutioner rekommenderas att göra detsamma.

Tyskland har inte infört någon liknande obligatorisk regel. BSI nya uppmaning signalerar dock att myndigheten ser security.txt som en praktisk grundläggande säkerhetsåtgärd för organisationer som driver webbplatser.