26 Apr 2011


Разделы: Новости Интернет it

Еще в июне прошлого года, Tavis Орманди, инженер Google в Швейцарии, вызвало настоящий переполох. Как Грегг Кейзер сообщили в то время, Орманди сообщил Microsoft о ранее неизвестных дыра в безопасности в Windows на 5 июня и 9 июня он опубликовал полное описание уязвимости, в том числе код проверка концепции, на Полный список рассылки Раскрытие .

Microsoft выпустил корпоративные прокладкой. Майк Reavey, директор Microsoft Security Response Center, блогах следующий день, "Публичное раскрытие Подробная информация о данной уязвимости и как использовать его, не давая нам время, чтобы решить этот вопрос для наших клиентов потенциально пострадавших, делает широкие нападения более вероятно, и ставит клиентов в опасности. "

Omandy ответил, что он действует от своего имени, а не как Google сотрудника, но Reavy не купить его. Отношения между Microsoft и Google превратилась из морозной к холодным.

На прошлой неделе, Microsoft показала свой характер, публично выдачи новой политики и две новые "Microsoft исследования уязвимостей Рекомендации" - совершенно новая порода Microsoft Malware-боевых животных.

Политика девяти страницах документа говоря, в основном, что, когда Microsoft открывает "нулевого дня" изъян в продукт некоторых других производителей, Microsoft будет работать с поставщиком, чтобы устранить уязвимость - и убедитесь, что он фиксированной прежде чем сказать миру: " Если атаки идут в дикой природе, и продавец по-прежнему работает на обновление, то обе работы Finder и поставщика вместе как можно ближе, чтобы обеспечить раннее публичное раскрытие уязвимости для защиты клиентов. "

Есть исключения из частных ограничение отчетности. Политика позволяет Microsoft разглашать сведения, если уязвимость становится известно широкой общественности, когда есть доказательства того, что уязвимость используется, или когда продавец не отвечает.

Это последний пункт стал яблоком раздора с несколькими исследователями безопасности, которые утверждают, что Microsoft не ответил достаточно быстро - или, по сути, не ответил на все - свои доклады уязвимостей Microsoft. Чтобы быть справедливым, никто еще не определена точно, сколько времени требуется для отсутствия реакции на результат в поставщика классифицированы как "не отвечает".

Microsoft сопровождалось новой процедуры с двух новых консультативных MSVR, названный MSVR11-001 и MSVR11-002. Это не удивительно, что оба они описывают ранее незарегистрированных дыры в безопасности в Google продукты, которые были исправлена ​​Google. (MSVR11-002 описывает проблемы как в Google Chrome и Opera.)

Ни уязвимость является особенно интересным. Первый, переполнение буфера, позволяет запускать произвольный код, но только в пределах песочницы Chrome. Это было зафиксировано в Chrome 6.0.472.59 версия, которая была выпущена семь месяцев назад. Вторая требует заранее знать, какие конкретные локальный адрес IP. Это было зафиксировано в Chrome 8.0.552.215, который был выпущен четыре месяца назад. Видимо, Microsoft провела на обоих докладах, до окончательной публикации их новой политики.

Если вы или кто-то в вашей организации никогда натыкается на нулевой день уязвимости в программном продукте, пройдет несколько минут, чтобы посмотреть на политику Microsoft. Я не буду погружается в обсуждение достоинств полного раскрытия информации от скоординированного раскрытию, но он, несомненно, будет поучительно посмотреть, как Microsoft говорит, что это будет относиться к вам и вашей организации, если обуви были на другой ноге.

Эта история, "Microsoft показывает класс в раскрытии Google" нулевого дня ", была впервые опубликована в InfoWorld.com. Получить первое слово о том, что важные технические новости на самом деле означает в блоге InfoWorld Технология Часы. Для получения последних новостей технологии бизнеса, выполните InfoWorld.com на Twitter.




Метки: it
Рубрики: Новости Интернет it

 Имя       

Ограничение в 1000 символов
Введите ваш комментарий

Введите код