谷歌在本月11日不顧微軟的推遲要求而執(zhí)意公布了一個(gè)存在于Windows8.1登陸功能模塊中的漏洞，據(jù)悉這一漏洞將使得黑客可以取得設(shè)備的控制權(quán)。對(duì)于谷歌的這一舉動(dòng)，微軟高管日前在博客中表達(dá)了自己的批評(píng)和譴責(zé)，他表示“谷歌這么做完全是把個(gè)人私心放在了用戶安全之上”。
事實(shí)上，谷歌一直以來(lái)都在開(kāi)展一項(xiàng)名為“零項(xiàng)目”（ProjectZero）的安全漏洞披露項(xiàng)目，該團(tuán)隊(duì)主要由谷歌內(nèi)部頂尖安全工程師組成，旨在發(fā)現(xiàn)、跟蹤和修補(bǔ)全球性的軟件安全漏洞，以讓用戶可以更加愜意的享受互聯(lián)網(wǎng)生活，同時(shí)可以放心的點(diǎn)擊廣告。通常，谷歌會(huì)在公布漏洞前首先通報(bào)軟件廠商并給他們90天的時(shí)間發(fā)布修復(fù)補(bǔ)丁。
谷歌表示，自己早在去年10月13日就向微軟通報(bào)了存在于Windows8.1系統(tǒng)“Windows用戶檔案評(píng)測(cè)服務(wù)”（WindowsElevationofPrivilegeinUserProfileService）模塊中的漏洞。
“谷歌零項(xiàng)目所發(fā)現(xiàn)的安全漏洞會(huì)給予廠商90天的修復(fù)期，如果廠商沒(méi)有在90天內(nèi)發(fā)布大規(guī)模的修復(fù)補(bǔ)丁的話，這一漏洞報(bào)告便會(huì)自動(dòng)公諸于眾。”谷歌在自己的博客中寫(xiě)道。
對(duì)此，微軟安全研究中心高級(jí)研究總監(jiān)（seniordirectorofresearch）克里斯-貝斯（ChrisBetz）發(fā)表了名為《號(hào)召更好的漏洞協(xié)同披露》的長(zhǎng)文博客指出，微軟曾請(qǐng)求谷歌推遲至1月13日之后（也就是90天的寬限期后2天）再公布上述漏洞，因?yàn)槲④浺呀?jīng)計(jì)劃在1月13日向用戶推送修復(fù)補(bǔ)丁，但谷歌卻執(zhí)意在1月11日就公布漏洞。貝斯認(rèn)為，谷歌這一過(guò)于死板的做法最終傷害的還是普通互聯(lián)網(wǎng)用戶。
“具體來(lái)說(shuō)，我們?cè)蠊雀柰覀兒献?，不要將這一漏洞在微軟發(fā)布補(bǔ)丁前（即1月13日）公諸于眾。但谷歌沒(méi)有采納我們的意見(jiàn)，而是執(zhí)意在90天到期時(shí)公布這一漏洞。這樣的做法并沒(méi)有讓我們感覺(jué)谷歌堅(jiān)守了自己的原則，更像是在陷我們于不義，同時(shí)也置用戶的安全于不顧，因?yàn)楣雀杷J(rèn)為正確的事情不一定就是對(duì)待用戶的正確做法。在此，我們希望谷歌能同我們一道將保護(hù)用戶視為自己最主要的目標(biāo)。”貝斯在博客中這樣寫(xiě)道。
應(yīng)該說(shuō)，這已經(jīng)不是谷歌第一次通過(guò)“零項(xiàng)目”披露微軟安全漏洞了，此前雙方也曾因?yàn)轭愃频氖虑槎诿襟w上大打嘴仗。貝斯認(rèn)為，安全漏洞的修復(fù)是一個(gè)廣泛、復(fù)雜和耗時(shí)的工作，因?yàn)槊總€(gè)安全漏洞都各有不同，所以我們有時(shí)根本無(wú)法在90天的時(shí)間內(nèi)完全修復(fù)一個(gè)漏洞。
對(duì)于微軟的指責(zé)，谷歌并沒(méi)有立刻給予置評(píng)。但英國(guó)知名“零日漏洞查殺”專家、“零項(xiàng)目”項(xiàng)目研究員本-霍克斯(BenHawkes)卻并不同意微軟的指責(zé)，他表示：“總的來(lái)說(shuō)，零項(xiàng)目給予所發(fā)現(xiàn)漏洞的90天限期是合理、且經(jīng)過(guò)深思熟慮的。因?yàn)檫@一寬限期不僅給予了軟件廠商充足的時(shí)間去修復(fù)漏洞，同時(shí)也給予了用戶足夠的尊重，并讓它們了解自己所面臨的安全風(fēng)險(xiǎn)。”