Microsoft is ontevreden over Google en de publicatie van een kwetsbaarheid in Windows 8.1

Laten we samenvatten. Afgelopen zomer kondigde Google de oprichting aan van een onderzoeksgroep genaamd 'Project Zero' die belast is met het opsporen van en waarschuwen voor beveiligingsproblemen in zijn software of die van andere bedrijven. Op 30 september waarschuwde dit team Microsoft voor het bestaan ​​van een kwetsbaarheid in Windows 8.1 waardoor derden controle zouden kunnen krijgen over een werkende Windows 8.1-machine. Het deed dit door de kennisgeving van een tijdslimiet van 90 dagen te begeleiden voor degenen in Redmond om het op te lossen voordat het volledig openbaar werd gemaakt.

Dat laatste gebeurde afgelopen week. Na die 90 dagen zonder dat Microsoft het probleem kon oplossen, werd de kwetsbaarheid openbaar gemaakt door de Google-onderzoeksgroep, waardoor iedereen ervan op de hoogte was en gedetailleerd uitlegde hoe het zou kunnen worden uitgebuit. Dat viel niet in de smaak in Redmond, waar ze al bezig waren met een oplossing. Het is zo weinig bevallen dat Chris Betz, senior director bij het Microsoft Security Response Center (MSRC), heeft besloten een notitie te publiceren waarin hij de actie van degenen van Mountain View betreurt en oproept tot een beter begrip tussen de beveiligingsteams van de bedrijven.

Betz is zeer kritisch over de prestaties van Google op dit gebied. Blijkbaar zou uit Redmond het 'Project Zero'-team hebben gevraagd om de publicatie van de uitspraak uit te stellen tot 13 januari, op welk moment ze van plan waren een oplossing te verspreiden via zijn bekende dinsdag-patches.Helaas hebben degenen van Mountain View niet aan het verzoek voldaan en dat heeft hun reactie gemotiveerd om een ​​betere manier van samenwerking in dit soort situaties te verdedigen.

Bij Microsoft beschouwen ze de door Google gevolgde strategie als verkeerd om een ​​onderzoeksteam kwetsbaarheden te laten vinden in concurrerende producten, wat de druk vergroot met een tijdslimiet om ze op te lossen en dreigen met publicatie als deze wordt overschreden. Niet alle kwetsbaarheden vormen hetzelfde dreigingsniveau en vaak hebben ze geen snelle oplossing of hun toepassing is min of meer gecompliceerd, dus het aftellen tot hun publicatie is niet de beste manier om hun oplossing aan te moedigen.

Van Redmond advocaat meer voor onderzoekers om bedrijven privé te waarschuwen van potentiële kwetsbaarheden en werk met hen aan een oplossing zonder tijdelijke limieten of bedreigingen te eisen publicatie.

Via | Microsoft