Microsoft missnöjda med Googles tillkännagivande om Windows bug

Microsoft har nyligen uttryckt sitt missnöje med hur Google har släppt information om ett säkerhetsproblem i Windows. Enligt samordnade sårbarhet Disclosure (CVD), bör säkerhet forskare ge Microsoft en möjlighet att åtgärda sårbarheter som upptäckts innan avslöja dem för allmänheten. Microsoft påstår att de sträva efter att erbjuda sina kunder med hög kvalitet uppdateringar och skydda kunderna från skadliga attacker medan uppdateringen skapas.

Det tros att full insyn uppmuntrar programvaruleverantörer att åtgärda sårbarheter snabbare och kunder att vidta skyddsåtgärder. Dock Microsoft samtycker inte till denna tro och föreslår att offentliggörande kan utlösa nya IT-attacker.

Företaget har uttryckt sitt missnöje och begäran att forskare privat informera dem om sårbarheter som upptäckts och släppa information om problemet endast när en korrigering har gjorts. Chriz Betz, äldre direktör av Microsoft Security Response Centre, anser att forskare och leverantörer måste samarbeta tills en fix är släppt och hävdar att detta partnerskap är mycket välgörande för kunder.

Utlämnande av information om felet har betraktats som en situation där kunder sätts i fara. Chriz Betz tror att Google inte är nödvändigtvis rätt med sina beslut.

Google släppt information om en bugg två dagar före en planerad fix, som skedde trots Microsofts begäran att undvika avslöjar Detaljer om frågan. Särskilt begärdes det att undanhålla information från allmänheten till den 13 januari 2015, när fix hade att släppas. Microsofts strategi är att det primära fokus på att förse kunder med skydd men inte utsätta dem för en större fara. Chriz Betz hävdar att de inte skulle försöka sätta press på konkurrenterna efter att ha upptäckt några brister i sina produkter.

Avslöjandet gjordes av Project Zero laget, som avslöjat koden krävs för att utnyttja buggar. Detta gjordes efter att drabbade företag med en tidsfrist att åtgärda problem. Som sårbarheten inte fixades inom 90 dagar, avslöjades information om problemet.

Förra veckan rapporterades det att Microsofts avancerade anmälan Service (ANS), som skapades än för 10 år sedan som del av Patch tisdag för att kommunicera om Microsoft uppdaterar, inte längre är tillgängliga för allmänheten. Det innebär att ANS information inte tillgänglig genom en blogg eller webbplats. Ändringar sägs att genomföras på grund av kundernas feedback att ANS används inte längre på samma sätt som tidigare, vilket innebär att de allra flesta kunder vänta uppdatering tisdag, uppdateringar att installera automatiskt. Information om säkerhetsuppdateringar kommer att endast tillgängligt för kunder som har betalat Premier supportavtal.