23 Jul 2010


Разделы: новости it

Разработчики не должны принимать отчеты по уязвимостям так легко. И игнорировать уязвимости - вы даже не успеть исправить это в срок, что совершенно безответственно.

Вот как инженер информационной безопасности Google Tavis Ormandy видит эту порблему. Поэтому, когда Microsoft мялся с сообщением о критической ошибке в системе безопасности, что он обнаружил в справочной системе Windows XP, то Орманди взял дело в свои руки. Он опубликовал подробное описание уязвимости безопасности Полный список рассылки информации, включая код нападения проверка концепции.



Результат, как и ожидалось, был бурю. Microsoft публично осудил действия Орманди, заявив о раскрытии "производит широкий нападений чаще и ставит клиента в опасности." С тех пор реальных подвигах ошибка начали появляться. В своем блоге на прошлой неделе, Грэхем Клули, старший технический консультант компании Sophos по безопасности, поставщиков, опять ругал Орманди, спрашивая: "Считаете ли вы гордитесь своим поведением?"

Microsoft с тех пор опубликовано исправление уязвимости, но этот инцидент оставил безопасности сообщества глубокий раскол. Кроме того, он поднимает важные вопросы для разработчиков программного обеспечения. Как разработчики ручкой уязвимости в системе безопасности, когда они сообщили клиенты? Что разумные процедуры для их решения? И как они реагируют, когда их клиентов, казалось бы стать их злейших врагов?

Когда исследователи нападения Орманди утверждает, что его действия были не только оправданные, но и необходимым. Когда он первый подошел Microsoft относительно уязвимости, он надеется, поставщика программного обеспечения, согласились бы производить исправления в течение 60 дней. Но когда его переговоры с сотрудниками Microsoft затянулось на пять дней, а Microsoft еще не придерживался какой-либо вид патч график, он стал разочарованы тем, что он видел, как опасные небрежности со стороны Редмонда основе поставщика. Только тогда он принимает решение стать публичной.

Это было не очень красиво, говорят Microsoft повторений. Если бы Орманди ждал, Microsoft мог бы взять на себя обязательство официального расписания, в следующую пятницу, всего через шесть дней после получения информации о уязвимости. Вместо Орманди поторопился, делая дальнейшие спорные дискуссии.

Но в то время как Microsoft и критиков, как Клули хотите провести Орманди личную ответственность за деяния, которые появились, поскольку он сделал свой раскрытия информации, это не совсем справедливо, либо. Правда, исследователи безопасности не были известны какие-либо подвиги данной уязвимости до сих пор, но тогда почему бы им быть? Они даже не знают об уязвимости до сих пор. Это не гарантия того, что злоумышленники еще не добавили его в свой арсенал.

И это не первый раз Орманди принял спорный шаг раскрытия уязвимостям публично. Он хорошо известна в сфере безопасности, а ранее в этом году он использовал подобную тактику давления Oracle в установлении опасной уязвимости Java. Oracle заплатах, что недостаток всего 6 дней. Представляется маловероятным, что Microsoft придется выпустила патч для этой уязвимости последних, как только он сделал, если бы не был под аналогичным давлением.






Метки: it
Рубрики: новости it

 Имя       

Ограничение в 1000 символов
Введите ваш комментарий

Введите код