2
| 本文作者： 老王 | 2016-11-01 11:40 |
近日，谷歌專(zhuān)門(mén)披露安全漏洞的部門(mén)“威脅分析集團(tuán)”（Threat Analysis group）對(duì)外公布了 Windows 操作系統(tǒng)的一個(gè)臨危級(jí)別的重大漏洞，同時(shí)發(fā)布相關(guān)補(bǔ)丁來(lái)保護(hù) Chrome 用戶。問(wèn)題是，谷歌的 Chrome 保護(hù)補(bǔ)丁出來(lái)了，但微軟官方的補(bǔ)丁還未誕生。谷歌這一舉措徹底激怒了微軟。
微軟發(fā)怒也合情合理。
首先，谷歌在最初發(fā)現(xiàn)該漏洞后及時(shí)告知了微軟，微軟得知后也開(kāi)始開(kāi)發(fā)相關(guān)補(bǔ)丁，但 10 天后谷歌突然將該漏洞公開(kāi)，而此時(shí)的微軟還未來(lái)得及完成補(bǔ)丁的開(kāi)發(fā)。
此外，谷歌對(duì) Windows 這一漏洞描述的較為具體：
由于該漏洞的存在，將允許攻擊者利用 win32k 系統(tǒng)上的一處瑕疵躲避安全沙箱。一旦該漏洞被黑客利用，所發(fā)起的攻擊所帶來(lái)后果的嚴(yán)重性足以將該漏洞定為“臨危”級(jí)別。目前該漏洞正在被頻繁利用。
這就尷尬了：谷歌發(fā)布相關(guān)補(bǔ)丁來(lái)保護(hù)自己的 Chrome 瀏覽器用戶，但 Windows 自身的漏洞還未解決就被扒出來(lái)公之于眾，微軟在黑客面前無(wú)異于“裸奔”。從表面上看，谷歌為了保護(hù) Chrome 用戶，賣(mài)了隊(duì)友。說(shuō)好的默契呢？
對(duì)此微軟而言，谷歌披露的信息無(wú)疑將微軟的客戶置于風(fēng)險(xiǎn)之中，在補(bǔ)丁未完成的情況嚇，如果讓其他黑客熟知微軟的漏洞，很有能會(huì)對(duì)其進(jìn)行攻擊。為此，微軟給出緊急解決方案，建議客戶使用 Windows 10 系統(tǒng)和微軟的 Edge 瀏覽器。
面對(duì)微軟的不滿，谷歌則拿出自己制定的政策鍋甩：他們表示，谷歌的舉動(dòng)符合在 2013 年自己制定的產(chǎn)品漏洞披露信息相關(guān)政策。谷歌在發(fā)現(xiàn)供應(yīng)商產(chǎn)品上的某一漏洞后，會(huì)及時(shí)向其進(jìn)行通報(bào)，并給出七天寬限期令其發(fā)布相關(guān)補(bǔ)丁。即在報(bào)告給外部公司七天之后，可以對(duì)外公開(kāi)漏洞。
很多研究人員抱怨谷歌的這一政策過(guò)于苛刻，認(rèn)為七天的寬限期，根本拿不出合適解決方案來(lái)應(yīng)對(duì)復(fù)雜的安全漏洞。抱怨歸抱怨，政策實(shí)施三年來(lái)，鮮有廠商對(duì)該項(xiàng)政策進(jìn)行指責(zé)，也可能出于小廠商也無(wú)法與谷歌討價(jià)還價(jià)的緣故。但這回中槍的恰恰是敢和谷歌比劃的微軟，面對(duì)微軟，谷歌似乎也對(duì)這一漏洞的處理方式有所保留：谷歌的寬限期是七天，而這次對(duì)外公布微軟的漏洞卻推遲到了十天，可見(jiàn)谷歌在面對(duì)微軟也是禮讓三分。
可以想象，谷歌在面對(duì)公布還是不公布之間異常糾結(jié)，公布了則會(huì)惹怒微軟。不公布也不行，畢竟自己制定的政策因?yàn)槲④浂掷m(xù)延期，容易被別人蓋上欺軟怕硬的帽子，打自己臉。
為了讓微軟熄熄火，谷歌說(shuō)到在他們公開(kāi)的信息中，只是對(duì)該漏洞進(jìn)行了一般性的描述，這些描述使得黑客并不能掌握系統(tǒng)的具體漏洞所在。與此同時(shí)，他們先是站在微軟廣大用戶的立場(chǎng)去發(fā)聲，旨在為用戶提供足夠的信息以識(shí)別可能的攻擊，避免黑客輕易得手。并提醒用戶，對(duì)于 Flash 軟件要安裝自動(dòng)升級(jí)程序，另外要以最快的速度安裝 Windows 操作系統(tǒng)的安全補(bǔ)丁。
隨后谷歌又站在各大軟件廠商的立場(chǎng)去聲明，他們希望盡早對(duì)外公開(kāi)、引發(fā)廠商注意，從而讓各大廠商開(kāi)發(fā)自己的補(bǔ)丁。
雖然谷歌認(rèn)為自己公開(kāi)的信息相對(duì)而言不那么具體，同時(shí)站在擁護(hù)廣大用戶和軟件商利益的立場(chǎng)上。但在微軟看來(lái)卻并非如此，這些信息足以讓黑客知道他們的病灶所在，使得微軟 Windows 海量用戶處于危險(xiǎn)狀態(tài)中，而且使得幾乎所有的黑客都已經(jīng)知道了漏洞的存在。
雷峰網(wǎng)原創(chuàng)文章，未經(jīng)授權(quán)禁止轉(zhuǎn)載。詳情見(jiàn)轉(zhuǎn)載須知。
