谷歌在本月11日不顧微軟的推遲要求而執(zhí)意公布了一個存在于Windows8.1登陸功能模塊中的漏洞，據(jù)悉這一漏洞將使得黑客可以取得設(shè)備的控制權(quán)。對于谷歌的這一舉動，微軟高管日前在博客中表達(dá)了自己的批評和譴責(zé)，他表示“谷歌這么做完全是把個人私心放在了用戶安全之上”。
事實(shí)上，谷歌一直以來都在開展一項(xiàng)名為“零項(xiàng)目”（ProjectZero）的安全漏洞披露項(xiàng)目，該團(tuán)隊(duì)主要由谷歌內(nèi)部頂尖安全工程師組成，旨在發(fā)現(xiàn)、跟蹤和修補(bǔ)全球性的軟件安全漏洞，以讓用戶可以更加愜意的享受互聯(lián)網(wǎng)生活，同時(shí)可以放心的點(diǎn)擊廣告。通常，谷歌會在公布漏洞前首先通報(bào)軟件廠商并給他們90天的時(shí)間發(fā)布修復(fù)補(bǔ)丁。
谷歌表示，自己早在去年10月13日就向微軟通報(bào)了存在于Windows8.1系統(tǒng)“Windows用戶檔案評測服務(wù)”（WindowsElevationofPrivilegeinUserProfileService）模塊中的漏洞。
“谷歌零項(xiàng)目所發(fā)現(xiàn)的安全漏洞會給予廠商90天的修復(fù)期，如果廠商沒有在90天內(nèi)發(fā)布大規(guī)模的修復(fù)補(bǔ)丁的話，這一漏洞報(bào)告便會自動公諸于眾。”谷歌在自己的博客中寫道。
對此，微軟安全研究中心高級研究總監(jiān)（seniordirectorofresearch）克里斯-貝斯（ChrisBetz）發(fā)表了名為《號召更好的漏洞協(xié)同披露》的長文博客指出，微軟曾請求谷歌推遲至1月13日之后（也就是90天的寬限期后2天）再公布上述漏洞，因?yàn)槲④浺呀?jīng)計(jì)劃在1月13日向用戶推送修復(fù)補(bǔ)丁，但谷歌卻執(zhí)意在1月11日就公布漏洞。貝斯認(rèn)為，谷歌這一過于死板的做法最終傷害的還是普通互聯(lián)網(wǎng)用戶。
“具體來說，我們曾要求谷歌同我們合作，不要將這一漏洞在微軟發(fā)布補(bǔ)丁前（即1月13日）公諸于眾。但谷歌沒有采納我們的意見，而是執(zhí)意在90天到期時(shí)公布這一漏洞。這樣的做法并沒有讓我們感覺谷歌堅(jiān)守了自己的原則，更像是在陷我們于不義，同時(shí)也置用戶的安全于不顧，因?yàn)楣雀杷J(rèn)為正確的事情不一定就是對待用戶的正確做法。在此，我們希望谷歌能同我們一道將保護(hù)用戶視為自己最主要的目標(biāo)。”貝斯在博客中這樣寫道。
應(yīng)該說，這已經(jīng)不是谷歌第一次通過“零項(xiàng)目”披露微軟安全漏洞了，此前雙方也曾因?yàn)轭愃频氖虑槎诿襟w上大打嘴仗。貝斯認(rèn)為，安全漏洞的修復(fù)是一個廣泛、復(fù)雜和耗時(shí)的工作，因?yàn)槊總€安全漏洞都各有不同，所以我們有時(shí)根本無法在90天的時(shí)間內(nèi)完全修復(fù)一個漏洞。
對于微軟的指責(zé)，谷歌并沒有立刻給予置評。但英國知名“零日漏洞查殺”專家、“零項(xiàng)目”項(xiàng)目研究員本-霍克斯(BenHawkes)卻并不同意微軟的指責(zé)，他表示：“總的來說，零項(xiàng)目給予所發(fā)現(xiàn)漏洞的90天限期是合理、且經(jīng)過深思熟慮的。因?yàn)檫@一寬限期不僅給予了軟件廠商充足的時(shí)間去修復(fù)漏洞，同時(shí)也給予了用戶足夠的尊重，并讓它們了解自己所面臨的安全風(fēng)險(xiǎn)。”