Google frigiver exploit til Microsoft 0-dagssårbarhed efter frist på 90 dage

Er jeg den eneste der synes, at det er helt og aldeles urimeligt, at Google skal gøre sig til dommer over Microsofts prioriteringer?

I min optik gør det absolut ingen forskel om det er Google eller en studerende fra Handelsoperaen i Sakskøbing.

Microsoft har lov til at prioritere præcist som de har lyst til, og det har de naturligvis gjort.

Microsoft har f.eks haft masser af tid og penge til at finde den fejl inden de sendte programmet på markedet.

At de ikke fandt den handler alene om deres egen prioritering.

Og 90 dage er utroligt generøst for branchen, I FOSS bliver vi ofte mødt med "Vi releaser det her om syv dage."

Det er vel det samme som den her: Du har tabt din nøgle til dit hus. Skift alle dine låse inden kl. 12 i morgen, ellers kopierer jeg nøglen og giver den til hele byen med oplysninger om hvor du bor.

I ovenstående scenarie er mit hus sårbart over for dit angrib medmindre jeg går ind på dine krav. først og fremmest vil jeg ofte opdage at jeg har tabt nøglen og mit hus derfor er sårbart og for det andet er der er det kun dig huset er sårbart overfor indtil du kopierer nøglen.

I tilfældet af et sikkerhedshul er alles huse sårbare over for angreb fra vilkårlige personer, men indtil sikkerhedshullet er offentliggjort er det som husejer ikke muligt at opdage at man har tabt sin nøgle og derfor er sårbar. Desuden kan sikkerhedshullet være opdaget af flere uafhængigt af hinanden, derfor er er mit hus allerede i risikozonen inden udløbet af tidsfristen.

For det andet så læser jeg også din sammenligning som en antydning af at selve tidsfristen er irrelevant. Det bedste udfald er at producenten (Microsoft) kommer med en rettelse af høj kvalitet, men hvis det ikke er muligt er det bedre at jeg som bruger har mulighed for at sikre mig på anden vis end at jeg bliver efterladt sårbar i uvidenhed. Dette er en balancegang og spørgsmålet er om 90 dages hemmeligholdelse er passende og om producenten skal kunne få (begrænset) udsættelse.

Ud over hvor lang tid et sikkerhedshul skal holdes hemmeligt kan det diskuteres hvor godt beskrevet sikkerhedshullet skal være før producenterne og brugerne skal kunne tage det seriøst. Man kan godt argumentere for at sikkerhedshuller kun skal beskrives i vage formuleringer så det kræver kendskab til kildekoden at forstå beskrivelsen, men som bruger har jeg tidligere haft stor glæde at konstruktivt at kunne afprøve om mit system var sårbar over et konkret sikkerhedshul.

Kort sagt mener jeg at Google har handlet efter bedste praksis, men er der muligvis er plads til at handle lidt mere pragmatisk i forhold til hvornår sikkerhedshullet er offentliggjort (at vente 5 dage til efter nytår havde ikke ændret risikovurderingen meget) og eventuelt vetet til hvis Microsoft havde en rettelse af høj kvalitet sammen såfremt Microsoft havde givet udtryk for at en rettelse var under vejs.

Man kan være uenig med Microsoft og synes alt muligt om dem, men det moralske kompas er da helt skævt, når Google med vilje offentliggøre skadelig kode?

Hvordan skal Microsoft's kunder tage forholdsregler, hvis problemet holdes hemmeligt? Det er jo ikke sikkert at Google er de eneste der kender til hullet.

Er jeg den eneste der synes, at det er helt og aldeles urimeligt, at Google skal gøre sig til dommer over Microsofts prioriteringer? Man kan være uenig med Microsoft og synes alt muligt om dem, men det moralske kompas er da helt skævt, når Google med vilje offentliggøre skadelig kode?

Så jeg synes 3 måneder er langt tid, måske for meget, men hvis hullet skal med i den månedlige rettelse og skal testes inden, så måske rimeligt

Jeg har set noget om at fejlen er blevet oprettet i en af Microsofts fejldatabaser, men har de på anden måde reageret? Hvis producenten samarbejder, men ikke kan nå at producere en rettelse af en tilfredsstillende kvalitet, så mener jeg ikke at man skal holde sig i en stram 90 dages deadline, men hvis producenten ikke samarbejder så mener jeg at en 90 dages deadline er et fornuftigt kompromis mellem hurtigt at advare folk og at give producenterne tid til at arbejde.