谷歌在本月11日不顧微軟的推遲要求而執(zhí)意公布了一個存在于Windows8.1登陸功能模塊中的漏洞，據(jù)悉這一漏洞將使得黑客可以取得設(shè)備的控制權(quán)。對于谷歌的這一舉動，微軟高管日前在博客中表達了自己的批評和譴責(zé)，他表示“谷歌這么做完全是把個人私心放在了用戶安全之上”。
事實上，谷歌一直以來都在開展一項名為“零項目”（ProjectZero）的安全漏洞披露項目，該團隊主要由谷歌內(nèi)部頂尖安全工程師組成，旨在發(fā)現(xiàn)、跟蹤和修補全球性的軟件安全漏洞，以讓用戶可以更加愜意的享受互聯(lián)網(wǎng)生活，同時可以放心的點擊廣告。通常，谷歌會在公布漏洞前首先通報軟件廠商并給他們90天的時間發(fā)布修復(fù)補丁。
谷歌表示，自己早在去年10月13日就向微軟通報了存在于Windows8.1系統(tǒng)“Windows用戶檔案評測服務(wù)”（WindowsElevationofPrivilegeinUserProfileService）模塊中的漏洞。
“谷歌零項目所發(fā)現(xiàn)的安全漏洞會給予廠商90天的修復(fù)期，如果廠商沒有在90天內(nèi)發(fā)布大規(guī)模的修復(fù)補丁的話，這一漏洞報告便會自動公諸于眾。”谷歌在自己的博客中寫道。
對此，微軟安全研究中心高級研究總監(jiān)（seniordirectorofresearch）克里斯-貝斯（ChrisBetz）發(fā)表了名為《號召更好的漏洞協(xié)同披露》的長文博客指出，微軟曾請求谷歌推遲至1月13日之后（也就是90天的寬限期后2天）再公布上述漏洞，因為微軟已經(jīng)計劃在1月13日向用戶推送修復(fù)補丁，但谷歌卻執(zhí)意在1月11日就公布漏洞。貝斯認(rèn)為，谷歌這一過于死板的做法最終傷害的還是普通互聯(lián)網(wǎng)用戶。
“具體來說，我們曾要求谷歌同我們合作，不要將這一漏洞在微軟發(fā)布補丁前（即1月13日）公諸于眾。但谷歌沒有采納我們的意見，而是執(zhí)意在90天到期時公布這一漏洞。這樣的做法并沒有讓我們感覺谷歌堅守了自己的原則，更像是在陷我們于不義，同時也置用戶的安全于不顧，因為谷歌所認(rèn)為正確的事情不一定就是對待用戶的正確做法。在此，我們希望谷歌能同我們一道將保護用戶視為自己最主要的目標(biāo)。”貝斯在博客中這樣寫道。
應(yīng)該說，這已經(jīng)不是谷歌第一次通過“零項目”披露微軟安全漏洞了，此前雙方也曾因為類似的事情而在媒體上大打嘴仗。貝斯認(rèn)為，安全漏洞的修復(fù)是一個廣泛、復(fù)雜和耗時的工作，因為每個安全漏洞都各有不同，所以我們有時根本無法在90天的時間內(nèi)完全修復(fù)一個漏洞。
對于微軟的指責(zé)，谷歌并沒有立刻給予置評。但英國知名“零日漏洞查殺”專家、“零項目”項目研究員本-霍克斯(BenHawkes)卻并不同意微軟的指責(zé)，他表示：“總的來說，零項目給予所發(fā)現(xiàn)漏洞的90天限期是合理、且經(jīng)過深思熟慮的。因為這一寬限期不僅給予了軟件廠商充足的時間去修復(fù)漏洞，同時也給予了用戶足夠的尊重，并讓它們了解自己所面臨的安全風(fēng)險。”