24 Jul 2010


Разделы: новости it

Не так давно мы читали о войне между Microsoft и Google об обнаружении уязвимости сотрудником Google, Tavis Ormandy, что сказалось на операционной системе Windows XP. Это повлияло на PR этих двух технологических гигантов, что было названо Neil журналом как "Битва Орманди".

После этого сражения, более разумные действия у них уже преобладают. На этой неделе Google исследователи, в том числе Орманди, опубликовали в своем блоге призыв к переосмыслению почти десятилетней давности статус-кво вокруг "ответственности раскрытия информации" - политики, безопасности, и просят исследователей представить информацию об уязвимостях в программном обеспечении непосредственно в пострадавшие поставщика, то откладывать на раскрытие детали, пока патч доступен.



Блога изложил новую политику, которая позволила бы Google исследователи, обнаружившие ошибки ранжировать их основе критичности, раскрывать их первый с поставщиками, но и установить верхнюю границу ответ продавца, на основе критичности дефектов и будет ли он в настоящее время активно эксплуатируются. Google казалось, что 60-дневный срок Орманди был адекватен, но допускает, что больше времени можно было бы необходимости.

Затем, в четверг, Microsoft заявила, что пересмотрела почти десятилетней давности понятие ответственного раскрытия информации и решила принять более гибким, менее негативную альтернатива - "скоординированные раскрытия информации" - это дает более четкие указания и больше возможностей для исследователей в области безопасности, которые обнаруживают дыры в безопасности программного обеспечения продукты, созданные независимые третьи стороны.

Так что же изменилось? Ответственные раскрытия просит исследователей представить дыр в безопасности, они находят с поставщиками, а затем подождать (терпеливо) для патч для отверстия до направления уведомления общественности. Скоординированная раскрытия Если большинство, но возлагает ответственность на независимых поставщиков, чтобы оперативно реагировать, если есть доказательства того, что дыра в безопасности в настоящее время активно эксплуатируются. В этом случае ученые могут освободить некоторые детали отверстие - достаточно для общественности, чтобы защитить себя от эксплуатации.

Но те, которые сообщают о уязвимостей по-прежнему ожидается, координировать свою деятельность с поставщиками на предоставление данных и воздерживаться от выпуска вредоносный код, что "доказывает" их найти. Другие большие изменения, конечно, является устранение слово "ответственность" и о том, что исследователи действуют "безответственно", не отложить для независимых разработчиков ПО во всех вопросах, связанных с их найти. Список лиц, подписавших эту новую политику Dream Team уязвимость исследователи и безопасности VIP-персон и придает вес трудом репутацию на новый план.






Метки: it
Рубрики: новости it

 Имя       

Ограничение в 1000 символов
Введите ваш комментарий

Введите код