Microsoft er utilfreds med Google og offentliggørelsen af en sårbarhed i Windows 8.1
Lad os opsummere. Sidste sommer annoncerede Google dannelsen af en forskningsgruppe kaldet 'Project Zero' med ansvar for at opdage og advare om sikkerhedsproblemer i deres software eller andre virksomheders. Den 30. september advarede dette team Microsoft om eksistensen af en sårbarhed i Windows 8.1, der kunne give tredjeparter mulighed for at få kontrol over en Windows 8.1-maskine, der fungerer. Det gjorde det ved at ledsage meddelelsen om en 90-dages frist for dem i Redmond til at løse det, før det blev offentliggjort.
Det sidste var det, der endte med at ske i sidste uge. Efter de 90 dage, uden at Microsoft var i stand til at færdiggøre den, blev sårbarheden offentliggjort af Google-forskningsgruppen, hvilket gav enhver mulighed for at vide om det og forklare, hvordan det kunne udnyttes. Det har man ikke kunne lide i Redmond, hvor man allerede arbejdede på en løsning. Så lidt har det været glad for, at Chris Betz, seniordirektør ved Microsoft Security Response Center (MSRC), har besluttet at offentliggøre et notat, der beklager handlingen fra dem fra Mountain View og opfordrer til en bedre forståelse mellem virksomhedernes sikkerhedsteams.
Betz er meget kritisk over for Googles præstation i sagen. Tilsyneladende ville fra Redmond have bedt 'Project Zero'-teamet om at udsætte offentliggørelsen af kendelsen til den 13. januar, på hvilket tidspunkt de planlagde at distribuere en løsning gennem sine velkendte tirsdagspatches.Desværre fulgte dem fra Mountain View ikke anmodningen, og det har motiveret deres svar til at forsvare en bedre måde at samarbejde på i denne type situationer.
Hos Microsoft anser de den strategi, Google følger, for at være forkert med at lade et forskerhold finde sårbarheder i konkurrerende produkter, hvilket øger pres med en frist for, at de skal løses, og truer med at offentliggøre den, hvis den overskrides. Ikke alle sårbarheder udgør det samme trusselsniveau, og ofte har de ikke en hurtig løsning, eller deres anvendelse er mere eller mindre kompliceret, så at etablere en nedtælling til deres offentliggørelse er ikke den bedste måde at fremme deres løsning på.
Fra Redmond fortaler mere for forskere til privat at advare virksomheder om potentielle sårbarheder og arbejde med dem på en løsning uden at kræve grænser midlertidige eller truende offentliggørelse.
Via | Microsoft
