Microsoft utilfredse med Googles meddelelse om Windows-fejl

Microsoft har for nylig udtrykt deres utilfredshed med hvordan Google har frigivet oplysninger om en sårbarhed i Windows. Ifølge koordineret sårbarhed offentliggørelse (CVD), bør sikkerhed forskere give Microsoft en mulighed for at fastsætte sårbarheder opdaget inden afsløre dem for offentligheden. Microsoft anfører, at de søger at give deres kunder med høj kvalitet opdateringer og beskytter kunderne mod ondsindede angreb, mens opdateringen oprettes.

Det menes, at fuld åbenhed tilskynder softwareleverandører at fastsætte sårbarheder hurtigere og kunder til at træffe beskyttende foranstaltninger. Men Microsoft er uenig med denne tro og tyder på, at offentliggørelse kan udløse nye cyber-angreb.

Virksomheden har udtrykt deres utilfredshed og anmodning at forskere privat informere dem om sårbarheder fundet og frigive oplysninger om problemet kun, når der er sket en rettelse. Chriz Betz, senior director for Microsoft Security Response Center, mener, at forskere og softwareleverandører er nødt til at samarbejde indtil en rettelse er frigivet og hævder, at dette partnerskab er meget gavnlige for kunder.

Videregivelse af oplysninger om fejlen er blevet betragtet som en situation, hvor kunder bringes i fare. Chriz Betz mener, at Google ikke er nødvendigvis rigtige med deres beslutninger.

Google frigivet oplysninger om en fejl to dage før en planlagt fix, som blev udført på trods af Microsofts anmodning om at undgå at afsløre detaljer om spørgsmålet. Specifikt, der blev anmodet om at tilbageholde oplysninger fra offentligheden indtil 13 januar 2015, hvor lave skulle frigives. Microsofts tilgang er, at den primære fokus bør være på at yde kunder med beskyttelse men ikke udsætte dem for en større fare. Chriz Betz hævder, at de ikke vil forsøge at lægge pres på konkurrenterne efter afsløring af nogle fejl i deres produkter.

Afsløringen blev foretaget af projekt Zero-holdet, der oplyst koden kræves for at udnytte bugs. Dette blev gjort efter udstedelse berørte virksomheder med en frist til at løse problemer. Svagheden var ikke fastsat inden 90 dage, blev oplysninger om spørgsmålet afsløret.

Sidste uge blev det rapporteret, at Microsofts avancerede anmeldelse Service (ANS), som blev oprettet end for 10 år siden som en del af Patch Tirsdag til at kommunikere om Microsoft opdateringer, er ikke længere tilgængelig for offentligheden. Det betyder, at ANS oplysninger ikke vil være tilgængelige via et blog-indlæg eller hjemmeside. Ændringer siges at være gennemført på grund af kundernes feedbacks at ANS ikke længere anvendes på samme måde som tidligere, hvilket betyder at størstedelen af kunder venter på opdateringen tirsdag, så opdateringer automatisk. Oplysninger om sikkerhedsopdateringer bliver kun tilgængelig for kunder, der har betalt Premier supportkontrakter.