搜索

[23488] 2015-01-15_Google与微软的倔强总是伤害用户

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-18
2015-01-15_Google与微软的倔强总是伤害用户 G o o g l e 与 微 软 的 倔 强 总 是 伤 害 用 户 L i n u x 中 国   2 0 1 5 - 0 1 - 1 5 漏 洞 披 露 一 直 是 软 件 安 全 领 域 的 一 个 难 题 ， 而 最 近 这 一 顽 疾 又 引 发 了 微 软 与 G o o g l e 的 争 论 。 上 周 日 ， G o o g l e 公 布 了 W i n   8 . 1 中 存 在 的 漏 洞 ， 而 早 在 十 月 G o o g l e 就 曾 向 微 软 报 告 了 这 一 漏 洞 ， 9 0 余 天 过 去 ， 面 对 微 软 的 无 作 为 ， G o o g l e 公 布 了 这 一 事 实 。 微 软 称 本 打 算 于 周 二 补 丁 日 更 新 安 全 补 丁 ， G o o g l e 提 前 公 布 漏 洞 无 疑 将 用 户 安 全 暴 露 在 黑 客 攻 击 的 危 险 之 中 。 微 软 安 全 响 应 中 心 的 高 级 总 监 C h r i s   B e t z 发 表 了 一 篇 长 文 ， 呼 吁 在 漏 洞 披 露 方 面 双 方 理 应 达 成 一 致 ， 不 能 轻 易 将 用 户 安 全 置 之 度 外 。 如 何 披 露 漏 洞 是 个 问 题 自 2 0 1 0 年 起 ， 微 软 就 在 推 行 协 调 漏 洞 披 露 （ C V D ） ， 但 安 全 社 区 一 直 没 对 漏 洞 披 露 达 成 一 致 。 极 端 的 一 方 提 倡 完 全 披 露 ， 将 漏 洞 详 细 记 录 在 文 件 中 ， 公 布 于 众 ， 这 样 便 于 向 开 发 商 施 压 ， 迫 使 他 们 尽 早 解 决 问 题 。 早 先 ， 漏 洞 发 布 之 前 软 件 开 发 商 都 不 知 情 ， 不 过 一 些 研 究 人 员 也 保 证 在 公 布 漏 洞 之 前 首 先 与 开 发 商 沟 通 。 像 微 软 这 样 的 开 发 商 倾 向 另 一 个 解 决 方 案 ， 即 “ 责 任 漏 洞 披 露 ” 。 在 这 项 协 议 之 下 ， 安 全 漏 洞 在 发 现 之 后 必 须 首 先 秘 密 告 知 开 发 商 ， 并 且 在 漏 洞 修 复 和 补 丁 发 布 之 前 ， 不 能 公 布 漏 洞 的 细 节 ， 以 保 证 用 户 安 全 。 “ 责 任 漏 洞 披 露 ” 这 个 名 字 本 来 就 有 问 题 （ 其 隐 义 就 是 任 何 其 他 披 露 从 本 质 上 讲 都 是 不 负 责 任 的 ）   ， 因 此 微 软 打 算 重 新 更 名 为 C V D ， 其 与 “ 责 任 漏 洞 披 露 ” 的 方 式 差 不 多 ， 只 是 当 恶 意 团 体 利 用 秘 密 公 布 的 漏 洞 攻 击 用 户 ， 或 软 件 开 发 商 无 动 于 衷 时 ， 允 许 在 发 现 漏 洞 一 方 在 补 丁 发 布 前 向 公 众 披 露 漏 洞 。 在 这 一 问 题 上 ， G o o g l e 倾 向 于 完 全 披 露 。 自 漏 洞 发 现 之 后 ， G o o g l e 为 开 发 商 设 定 9 0 天 的 时 间 期 限 ， 在 这 期 间 开 发 商 必 须 发 布 修 复 补 丁 ， 逾 期 将 向 公 众 公 布 漏 洞 。 在 此 次 事 件 中 ， G o o g l e 也 是 这 样 做 的 ， 而 不 巧 的 是 ， 它 恰 巧 发 生 在 微 软 补 丁 发 布 前 夕 ， 从 而 引 起 微 软 的 谴 责 。 取 得 平 衡 G o o g l e 的 强 硬 立 场 被 证 明 是 正 确 的 。 在 惠 普 入 侵 防 御 系 统 T i p p i n g P o i n t 的 “ 零 日 计 划 ” （ Z e r o   D a y   I n i t i a t i v e ） 的 一 项 名 单 中 ， 列 举 了 一 系 列 被 公 布 数 百 日 却 仍 未 被 解 决 的 安 全 漏 洞 ， 其 中 就 包 括 数 个 微 软 的 漏 洞 。 开 发 商 对 漏 洞 无 动 于 衷 ， 迟 迟 不 采 取 手 段 ， 这 种 拖 延 将 终 端 用 户 置 于 黑 客
原 文 ： h t t p : / / a r s t e c h n i c a . c o m / s e c u r i t y / 2 0 1 5 / 0 1 / g o o g l e - s e e s - a - b u g - b e f o r e - p a t c h - t u e s d a y - b u t - w i n d o w s - u s e r s - r e m a i n - v u l n e r a b l e / 译 文 ：   h t t p : / / w w w . l e i p h o n e . c o m / n e w s / 2 0 1 5 0 1 / P J e z 0 h k O m Z c G k x 8 v . h t m l 译 者 ：   李 旭 旭 入 侵 危 险 中 。 即 使 漏 洞 没 有 修 复 ， 了 解 漏 洞 细 节 仍 可 以 减 少 病 毒 植 入 的 几 率 ， 保 护 用 户 安 全 。 面 对 恶 意 入 侵 ， 即 使 是 有 限 的 保 护 措 施 也 可 以 避 免 损 失 。 这 样 ， G o o g l e 的 最 后 期 限 在 供 应 商 和 用 户 的 权 益 之 间 提 供 了 一 种 平 衡 。 G o o g l e 坚 持 在 最 后 期 限 发 布 了 声 明 — — 还 没 接 到 微 软 已 经 开 发 好 补 丁 的 通 知 ， 也 没 有 被 告 知 最 后 期 限 之 后 的 几 天 才 能 发 布 补 丁 。 G o o g l e 与 微 软 的 倔 强 双 方 在 这 个 局 面 中 似 乎 都 很 倔 强 。 一 方 面 ， G o o g l e 完 全 武 断 地 决 定 了 一 个 最 后 期 限 并 坚 守 它 。 如 果 放 宽 一 点 ， 那 9 0 天 还 是 9 2 天 本 质 上 是 没 有 区 别 的 。 G o o g l e 为 什 么 不 能 晚 几 天 发 布 这 个 声 明 ， 好 像 也 没 有 一 个 合 理 的 解 释 。 另 一 方 面 ， 微 软 也 是 很 顽 固 。 微 软 有 补 丁 文 件 ， 已 经 开 发 并 测 试 好 了 ， 就 差 发 布 了 。 然 而 它 选 择 不 发 布 — — 为 了 符 合 公 司 周 二 补 丁 日 的 时 间 表 。 周 二 补 丁 日 的 政 策 非 常 受 I T 部 门 欢 迎 ， 因 为 这 样 他 们 维 护 和 重 启 的 时 间 表 就 非 常 规 则 ， 但 这 规 定 也 有 点 死 板 。 微 软 偶 尔 也 没 有 按 照 时 间 表 发 布 安 全 更 新 （ 一 般 是 在 有 大 范 围 传 播 的 非 常 明 显 的 漏 洞 时 ） ， 这 次 不 这 样 做 似 乎 也 没 有 非 常 合 理 的 解 释 。 受 伤 的 总 是 用 户 这 不 是 新 的 较 量 ， 微 软 和 G o o g l e 的 立 场 都 很 坚 定 。 微 软 的 抱 怨 似 乎 没 有 影 响 到 G o o g l e 的 任 何 人 ， 而 G o o g l e 的 行 为 似 乎 也 没 有 促 使 微 软 更 快 的 行 动 。 双 方 都 非 常 顽 固 ， 而 且 任 何 一 方 都 没 有 把 消 费 者 的 利 益 摆 在 首 位 。 从 长 期 来 看 ， 这 样 的 讨 论 还 是 有 益 的 。 不 可 避 免 地 ， 类 似 的 状 况 仍 然 会 再 次 发 生 ， 如 果 两 方 公 司 仍 各 持 己 见 ， 用 户 的 利 益 将 再 次 陷 入 困 境 。 G o o g l e 对 微 软 的 用 户 没 有 任 何 责 任 ， 但 是 微 软 的 责 任 却 不 可 逃 脱 。 在 处 理 G o o g l e 披 露 的 漏 洞 方 面 ， 微 软 必 须 展 现 出 更 大 的 灵 活 性 ， 即 使 这 会 对 其 I T 部 门 造 成 很 多 不 便 。 他 们 应 该 明 白 用 户 显 然 要 重 要 得 多 。 鉴 于 国 家 支 持 的 黑 客 行 为 与 政 府 对   “ 零 日 攻 击 ” 的 利 用 不 断 增 加 ， 即 使 周 二 补 丁 日 这 项 措 施 也 日 益 受 到 诟 病 。 周 二 补 丁 日 的 假 设 为 ： 如 果 微 软 没 有 看 到 利 用 此 漏 洞 的 攻 击 出 现 ， 那 么 也 许 它 没 被 其 他 恶 意 组 织 发 现 。 因 此 ， 可 以 推 迟 补 丁 发 布 ， 直 到 等 到 一 个 合 适 的 时 机 。 这 假 定 微 软 知 道 漏 洞 何 时 会 被 恶 意 利 用 ， 但 被 高 级 的 、 政 府 支 持 的 黑 客 攻 击 的 用 户 ， 也 许 对 于 受 到 攻 击 一 事 并 不 知 情 ， 因 此 不 会 向 微 软 报 告 这 些 问 题 。 因 此 ， 另 一 种 情 况 更 应 该 被 重 视 。 当 这 个 假 设 发 生 变 化 ， 漏 洞 随 时 都 有 被 利 用 的 危 险 的 情 况 下 ， 尽 快 做 出 修 复 而 不 是 等 待 适 时 的 “ 星 期 二 ” 才 是 明 智 之 举 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理