微软谴责谷歌公布Windows漏洞:不厚道!

微软谴责谷歌公布Windows漏洞:不厚道!

芳芳芳
芳芳芳 | 订阅 | 发信息 | | 免费广告推广 发表于:2015-01-13 23:24:42
37 | 0

[摘要]谷歌在微软发布补丁前两天公布漏洞,被微软高管炮轰不顾用户安全。



微软谴责谷歌公布Windows漏洞:不厚道!

 1月13日,谷歌(微博)在本月11日不顾微软的推迟要求而执意公布了一个存在于Windows 8.1登陆功能模块中的漏洞,据悉这一漏洞将使得黑客可以取得设备的控制权。对于谷歌的这一举动,微软高管日前在博客中表达了自己的批评和谴责,他表示“谷歌这么做完全是把个人私心放在了用户安全之上”。

事实上,谷歌一直以来都在开展一项名为“零项目”(Project Zero)的安全漏洞披露项目,该团队主要由谷歌内部顶尖安全工程师组成,旨在发现、跟踪和修补全球性的软件安全漏洞,以让用户可以更加惬意的享受互联网生活,同时可以放心的点击广告。通常,谷歌会在公布漏洞前首先通报软件厂商并给他们90天的时间发布修复补丁。

谷歌表示,自己早在去年10月13日就向微软通报了存在于Windows 8.1系统“Windows用户档案评测服务”(Windows Elevation of Privilege in User Profile Service)模块中的漏洞。

“谷歌零项目所发现的安全漏洞会给予厂商90天的修复期,如果厂商没有在90天内发布大规模的修复补丁的话,这一漏洞报告便会自动公诸于众。”谷歌在自己的博客中写道。

对此,微软安全研究中心高级研究总监(senior director of research)克里斯-贝斯(Chris Betz)发表了名为《号召更好的漏洞协同披露》的长文博客指出,微软曾请求谷歌推迟至1月13日之后(也就是90天的宽限期后2天)再公布上述漏洞,因为微软已经计划在1月13日向用户推送修复补丁,但谷歌却执意在1月11日就公布漏洞。贝斯认为,谷歌这一过于死板的做法最终伤害的还是普通互联网用户。

“具体来说,我们曾要求谷歌同我们合作,不要将这一漏洞在微软发布补丁前(即1月13日)公诸于众。但谷歌没有采纳我们的意见,而是执意在90天到期时公布这一漏洞。这样的做法并没有让我们感觉谷歌坚守了自己的原则,更像是在陷我们于不义,同时也置用户的安全于不顾,因为谷歌所认为正确的事情不一定就是对待用户的正确做法。在此,我们希望谷歌能同我们一道将保护用户视为自己最主要的目标。”贝斯在博客中这样写道。

应该说,这已经不是谷歌第一次通过“零项目”披露微软安全漏洞了,此前双方也曾因为类似的事情而在媒体上大打嘴仗。贝斯认为,安全漏洞的修复是一个广泛、复杂和耗时的工作,因为每个安全漏洞都各有不同,所以我们有时根本无法在90天的时间内完全修复一个漏洞。

对于微软的指责,谷歌并没有立刻给予置评。但英国知名“零日漏洞查杀”专家、“零项目”项目研究员本-霍克斯(Ben Hawkes)却并不同意微软的指责,他表示:“总的来说,零项目给予所发现漏洞的90天限期是合理、且经过深思熟虑的。因为这一宽限期不仅给予了软件厂商充足的时间去修复漏洞,同时也给予了用户足够的尊重,并让它们了解自己所面临的安全风险。”(汤姆)

    人气⋅电脑软件

    ×

    检举文章

    滥用检举功能将导致帐号或IP被封锁

    返回顶部