Microsoft เปิดเผยว่า Google เปิดเผยรายละเอียดเกี่ยวกับช่องโหว่ของ Windows แม้จะมีการร้องขอให้ชะลอก็ตาม

Google Researched พบช่องโหว่ด้านความปลอดภัยที่ไม่ได้รับการแก้ไขใน Windows 8.1 และเขาได้โพสต์จุดบกพร่องในหน้าการวิจัยด้านความปลอดภัยของ Google และอยู่ภายใต้กำหนดเวลาการเปิดเผยข้อมูล 90 วัน หากผ่านไป 90 วันโดยไม่มีโปรแกรมแก้ไขที่ครอบคลุม รายงานข้อบกพร่องจะปรากฏต่อสาธารณะโดยอัตโนมัติ ด้วยนโยบายนี้ Google ได้เผยแพร่ข้อมูลช่องโหว่บนเว็บ เป็นการย้ายที่ขาดความรับผิดชอบจาก Google เพื่อเผยแพร่จุดอ่อนบนผลิตภัณฑ์เช่น Windows ซึ่งผู้คนนับล้านใช้ทุกวัน

วันนี้ Microsoft ยืนยันว่าพวกเขาได้ขอให้ Google ชะลอกระบวนการนี้เป็นเวลา 2 วันจนกว่าพวกเขาจะเผยแพร่โปรแกรมแก้ไข แต่ Google ปฏิเสธคำขออย่างมีความสุขโดยไม่ต้องกังวลกับผู้ใช้หลายล้านคน

ปรัชญาและการดำเนินการของ CVD กำลังเกิดขึ้นในวันนี้ในฐานะบริษัทเดียว - Google - ได้เปิดเผยข้อมูลเกี่ยวกับช่องโหว่ในผลิตภัณฑ์ของ Microsoft สองวันก่อนการแก้ไขตามแผนของเราเกี่ยวกับจังหวะ Patch Tuesday ที่รู้จักกันดีและมีการประสานงานกัน แม้ว่าเราจะขอให้พวกเขาหลีกเลี่ยงก็ตาม โดยเฉพาะอย่างยิ่ง เราขอให้ Google ทำงานร่วมกับเราเพื่อปกป้องลูกค้าโดยระงับรายละเอียดจนถึงวันอังคารที่ 13 มกราคม ซึ่งเป็นช่วงที่เราจะเปิดตัวโปรแกรมแก้ไข แม้ว่าการติดตามผลจะเป็นไปตามไทม์ไลน์ที่ Google ได้ประกาศไว้สำหรับการเปิดเผย แต่การตัดสินใจนี้กลับรู้สึกเหมือนเป็นหลักการน้อยกว่าและเหมือนเป็น "คนโง่" มากกว่า โดยที่ลูกค้าอาจได้รับผลกระทบตามมา สิ่งที่ถูกต้องสำหรับ Google ไม่ใช่สิ่งที่ถูกต้องสำหรับลูกค้าเสมอไป เราขอเรียกร้องให้ Google ปกป้องลูกค้าเป้าหมายหลักโดยรวมของเรา

Microsoft เชื่อมานานแล้วว่าการเปิดเผยข้อมูลร่วมกันเป็นแนวทางที่ถูกต้องและลดความเสี่ยงให้กับลูกค้า เราเชื่อว่าผู้ที่เปิดเผยจุดอ่อนอย่างสมบูรณ์ก่อนที่จะมีการแก้ไขในวงกว้าง กำลังก่อความเสียหายต่อผู้คนนับล้านและระบบที่พวกเขาพึ่งพา บริษัทและบุคคลอื่นๆ เชื่อว่าการเปิดเผยข้อมูลอย่างครบถ้วนเป็นสิ่งจำเป็น เนื่องจากเป็นการบังคับให้ลูกค้าต้องปกป้องตัวเอง แม้ว่าคนส่วนใหญ่จะไม่ดำเนินการใดๆ แต่ส่วนใหญ่ต้องอาศัยผู้ให้บริการซอฟต์แวร์ในการเผยแพร่การอัปเดตความปลอดภัย แม้แต่ผู้ที่สามารถดำเนินการตามขั้นตอนเตรียมการได้ ความเสี่ยงก็เพิ่มขึ้นอย่างมากโดยการประกาศข้อมูลสู่สาธารณะที่อาชญากรไซเบอร์สามารถใช้เพื่อควบคุมการโจมตีและถือว่าผู้ที่จะดำเนินการนั้นได้รับรู้ถึงปัญหาแล้ว จากช่องโหว่ที่เปิดเผยโดยส่วนตัวผ่านแนวทางปฏิบัติในการเปิดเผยที่ประสานกันและแก้ไขในแต่ละปีโดยผู้จำหน่ายซอฟต์แวร์ทุกราย เราพบว่าแทบไม่มีใครถูกเอาเปรียบก่อนที่จะมี "การแก้ไข" ให้กับลูกค้า และแม้หลังจากที่ "แก้ไข" เผยแพร่ต่อสาธารณะแล้วเท่านั้น จำนวนน้อยมากที่เคยถูกเอารัดเอาเปรียบ ในทางกลับกัน ประวัติของช่องโหว่ที่เปิดเผยต่อสาธารณะก่อนที่จะมีการแก้ไขสำหรับผลิตภัณฑ์ที่ได้รับผลกระทบนั้นแย่กว่ามาก โดยอาชญากรไซเบอร์มักเตรียมการโจมตีสำหรับผู้ที่ไม่มีหรือไม่สามารถป้องกันตนเองได้

อีกแง่มุมหนึ่งของการอภิปราย CVD เกี่ยวข้องกับเวลา โดยเฉพาะระยะเวลาที่ยอมรับได้ก่อนที่นักวิจัยจะสื่อสารถึงการมีอยู่ของช่องโหว่ในวงกว้าง การแก้ไขข้อผิดพลาดในบริการเว็บแตกต่างไปจากการแก้ไขจุดบกพร่องใน Windows ซึ่งเป็นระบบปฏิบัติการที่เก่ากว่าทศวรรษ

อ่านเพิ่มเติมเกี่ยวกับมัน จากบล็อกโพสต์ของ Microsoft