谷歌發(fā)現(xiàn)了Windows 8.1系統(tǒng)里的錯(cuò)誤，稱其存在安全漏洞，普通用戶也可以以管理員的身份獲取敏感信息。最讓微軟感到坑爹的還不是這個(gè)——而是谷歌團(tuán)隊(duì)早在幾天前就已經(jīng)按照計(jì)劃披露這個(gè)消息了。

谷歌的“零計(jì)劃”旨在跟蹤軟件系統(tǒng)里的缺陷，并在第一時(shí)間內(nèi)讓相應(yīng)供應(yīng)商獲悉。——聽起來的確高大上。

谷歌最近就“告狀”了，要求微軟在90天內(nèi)修復(fù)其系統(tǒng)錯(cuò)誤。

微軟很快作出了解釋，認(rèn)為入侵者“需要擁有有效的登錄憑證，并且只能在特定的電腦上操作”。盡管這種危害只是小范圍的，它也是一個(gè)嚴(yán)重的問題，比如擁有某些項(xiàng)目經(jīng)驗(yàn)的中層員工會(huì)對這類缺陷感到不滿。

盡管如此，一些觀察員也質(zhì)疑，谷歌在披露日期上如此一根筋，是不是真的能“你好我好大家好”？

有專家認(rèn)為，如果不這樣的話，微軟可以有更多時(shí)間來修復(fù)錯(cuò)誤。在谷歌的相關(guān)政策里所示如下：“關(guān)于零計(jì)劃的披露日期……我們允許軟件供應(yīng)商擁有適當(dāng)?shù)臅r(shí)間對它們的運(yùn)行缺陷進(jìn)行修復(fù)，而與此同時(shí)，供應(yīng)商也需要尊重使用者了解自己所面對風(fēng)險(xiǎn)的權(quán)利。”但谷歌也保留了最終解釋權(quán)，“我們也將密切關(guān)注這一政策所帶來的影響”。

在同一時(shí)間，微軟發(fā)布聲明表示，目前公司正在“解決特權(quán)安全問題”。

來看看兩家各自的完整聲明說了什么吧：

微軟：

我們正在致力于解決特權(quán)安全問題，并進(jìn)行系統(tǒng)更新。要特別指出的一點(diǎn)是，入侵者如果試圖進(jìn)入系統(tǒng)，首先需要獲得有效的登錄憑證，而且還需要在指定電腦上進(jìn)行這一系列的操作。對此，我們鼓勵(lì)用戶對他們的殺毒軟件進(jìn)行更新，在電腦上安裝有效的安全更新以及防火墻。

谷歌：

昨天，我們還在猶豫是否要和微軟進(jìn)行溝通，最終我們發(fā)布聲明如下：

首先，我們在9月30日就已經(jīng)向微軟告知了ahcache.sys/NtApphelpCacheControl上的錯(cuò)誤。在左側(cè)欄里，這個(gè)錯(cuò)誤已經(jīng)顯示為“已告知”狀態(tài)。這份首次聲明也告知他們，我們設(shè)定了90天的披露期限，建議微軟在此之間進(jìn)行修復(fù)。

團(tuán)隊(duì)在2014年初就設(shè)定了零計(jì)劃的披露期限。這個(gè)限度是行業(yè)多年來討論漏洞修復(fù)而得出的一個(gè)結(jié)果。自2001年的“責(zé)任披露”原則發(fā)布以來，安全研究員在過去13年都一直沿用同樣的披露準(zhǔn)則。同時(shí)我們也認(rèn)為，我們的披露原則也需要和信息生態(tài)系統(tǒng)與時(shí)俱進(jìn)，威脅在變化，我們的披露政策也需要相應(yīng)作出改變。

零計(jì)劃堅(jiān)信，披露期限現(xiàn)在是保障用戶安全的最佳方式，它允許軟件供應(yīng)商擁有適當(dāng)?shù)臅r(shí)間對它們的運(yùn)行缺陷進(jìn)行修復(fù)，而與此同時(shí)，供應(yīng)商也需要尊重使用者了解自己所面對風(fēng)險(xiǎn)的權(quán)利。這一方式能夠撤銷供應(yīng)商對安全事項(xiàng)的無限解釋權(quán)，目的在于讓用戶對漏洞及時(shí)作出反應(yīng)，也賦予用戶跟供應(yīng)商追究責(zé)任的底氣。

我們也將密切關(guān)注這一政策所帶來的影響。一切的決策都是基于數(shù)據(jù)，我們也會(huì)持續(xù)尋找?guī)椭脩籼嵘踩阅艿慕鉀Q途徑。我們非常高興地看到，首發(fā)結(jié)果顯示，報(bào)告中發(fā)布的錯(cuò)誤能在期限內(nèi)解決，對此我們對供應(yīng)商的辛勤付出致以誠摯的謝意。

via engadget

雷峰網(wǎng)原創(chuàng)文章，未經(jīng)授權(quán)禁止轉(zhuǎn)載。詳情見轉(zhuǎn)載須知。