旗下微信矩阵:

666!微软被谷歌撕哭了

“问题在于,如果谷歌纵容微软,那么90天会变成120天、150天……事情当然不一定会这样发展,但很可能会让开发商拖拖拉拉,与此同时,用户却要为漏洞承担风险,而且浑然不知。”
2016-11-03 16:33 · 微信公众号:腾讯科技  译站   
   

  谷歌最近在安全领域频频出手,先是公开macOS与iOS核心部分漏洞,后又在通知微软仅10天后曝光Windows漏洞,大有自封安全领域“网警”的架势。然而,谷歌“网警小分队”与软件公司之间的恩恩怨怨绝不止这些。本文来自外媒,腾讯科技整合编译。

  最近微软被谷歌摆了一道,心里很是郁闷。

  本周一,谷歌在 Google Security Blog 中披露了微软Windows系统的一个临危级别的重大漏洞。当然在这之前,谷歌也按规矩把信息首先告知了微软。

  谷歌安全博客曝光Windows系统漏洞

  一般来说,发现这种零日漏洞(指还没有补丁的漏洞)的公司或专家会给软件开发商预留60天的反应期。

  但令微软大为光火的是,从告知到公开,谷歌只给了微软10天的时间。

  虽然谷歌在博客中只对漏洞进行了很笼统的描述,目的是在警示用户的同时又不至于被黑客过于轻易地利用,但不少外媒认为,仅仅是披露存在漏洞这一信息,就足以让更多黑客想方设法钻空子。

  那么谷歌为什么要提前公布漏洞呢?

  事情是这样的:谷歌发现微软的漏洞以后,很良心地在*时间想到了自己的Chrome用户。

  由于已经有恶意软件在利用Windows漏洞对Chrome浏览器发起攻击,谷歌快马加鞭赶制出了针对Chrome浏览器的补丁。

  这样谷歌就面临一个选择:尽早公布Chrome补丁,但这样就要出卖微软;不公布补丁,自己用户就有可能继续蒙受损失。谷歌毫不犹豫地选择了前者。

  这样看来,谷歌似乎也是出于无奈。

  但这种理由似乎依然没办法平息微软的怒火。漏洞公布后,微软的一位发言人当即对谷歌进行了谴责:“谷歌今天公布的信息很可能将用户置于危险的境地。”

  当然,发完脾气,微软还是要想办法挽回面子,于是它决定先把这锅甩出去。

  周二,微软执行副总裁泰瑞•梅尔森(Terry Myerson)表示:

  Windows漏洞目前遭到了俄罗斯知名黑客组织“奇幻熊(Fancy Bear)”的利用(你们看吧都怪谷歌),建议用户立即升级到Windows 10(顺便推销一把Win 10),并改用Edge浏览器来躲避攻击。

  同时,微软也许诺,系统层面的补丁将于11月8日公布。

  由于担心黑客干扰大选,最近美国对俄罗斯黑客这一话题异常敏感,微软这招甩锅大法成功地转移了注意力。果然,到了今天,外媒呼啦一下都跑去针对黑客了。

  CNBC播送突发新闻:黑客已在利用微软漏洞

  现在,边埋头开发补丁,边努力塑造“受害者”形象的微软,估计已经在心里默默算起了跟谷歌的“旧账”。

  早在2010年,谷歌的一名工程师就曾给微软下过“五日通牒”。只给五天也就算了,让微软气晕的是,这名工程师后来不但公开了漏洞信息,还例举了一组攻击代码,手把手教黑客攻破Windows。

  再后来,谷歌当“网警”似乎当上了瘾,干脆成立了一个专门用来披露软件漏洞的项目Project Zero,目的是为用户创造更加安全的互联网环境。

  自从有了这个项目,谷歌和一批软件公司之间的恩恩怨怨就没有断过,谷歌和微软的对撕也是越来越精彩。

  2014年9月,谷歌发现了微软Win 8中的一个安全漏洞,并告知了微软。那一次,谷歌给了微软足足90天的反应期。到了去年1月2日,微软依旧没有发布补丁,谷歌二话不说立即公开了漏洞。而且谷歌故伎重演,在披露信息中附上了一段所谓的“验证代码”,实际上就是把系统入侵“教程”拱手送给了黑客。

  微软安全回应中心资深总监克里斯•贝斯(Chris Betz)随即发表了题为《号召更好的漏洞协同披露》的长文博客,写道:我们曾要求谷歌和我们协同保护用户,将期限放宽到1月13日,届时就会发布补丁。谷歌提前公布漏洞的做法“与其说是不知变通,不如说是抱有一种幸灾乐祸的心态,让用户为这一切买单”。

  贝斯抨击谷歌的博客长文

  针对此事,曾有外媒指出,谷歌将漏洞与攻击代码同时公开的做法违背了“不作恶”原则。还说谷歌Project Zero项目看起来是为公众利益考虑,实际上却是满满的强盗逻辑:

  谷歌好像是一个自封的督查小队队长,它跑到你家告诉你房间窗户没关,而且如果你不赶快关上的话,它就会在你家门前贴一张海报昭告天下,让周围的犯罪分子都知道你家很容易下手……Project Zero根本不是权威,倒像是自封的网警。它没有权力到处威胁别人。

  经过那次事件,谷歌似乎也有反省的姿态。不久后,谷歌就宣布修改Project Zero在公开漏洞方面的规定,90天反应期这一标准将变得更加灵活,最长延长期达到14天,条件是软件发行商承诺能够在这14天内发布补丁。

  随后,谷歌也曾在安全团队的博客中写道:“只有在软件发行商严重超过约定期限时,才会公开披露零日漏洞。”

  事实上,就在不久前,谷歌就对苹果展现出了“宽宏大量”的一面。今年6月,Project Zero发现了苹果macOS及iOS系统核心部分漏洞,并报告给苹果。苹果最初要求60天宽限期,谷歌同意了,双方约定的截止日期为9月21日。

  但到了这个日期,苹果又犯拖延症,谷歌再次为其延长了宽限期。事实上,时至今日,苹果已经获得了将近5个月的宽限期,当然苹果现在已经解决了这一问题,在刚刚过去的两周时间内先后发布了iOS 10.1和macOS 10.12.1。

  Project Zero公布macOS及iOS核心漏洞

  然而,最近几天的事件似乎又让剧情出现了反转。

  有外媒调侃道:别被谷歌逮到,只要给它发现一丝丝别人可能利用你家漏洞的机会,你就完了。

  不过,也有人认为谷歌这么做很公平。一位名叫Jim Shaver的IT安全专家在博客中指出,反应期的长度一般都是根据修补漏洞的难度而定,反应期过短,开发商根本来不及开发补丁,反应期过长,开发商就会缺乏动力。

  “问题在于,如果谷歌纵容微软,那么90天会变成120天、150天……事情当然不一定会这样发展,但很可能会让开发商拖拖拉拉,与此同时,用户却要为漏洞承担风险,而且浑然不知。”

【本文由投资界合作伙伴微信公众号:腾讯科技授权发布,本平台仅提供信息存储服务。】如有任何疑问,请联系(editor@zero2ipo.com.cn)投资界处理。