Microsoft non è soddisfatta di Google e della pubblicazione di una vulnerabilità in Windows 8.1

Ricapitoliamo. La scorsa estate, Google ha annunciato la formazione di un gruppo di ricerca chiamato "Project Zero" incaricato di rilevare e segnalare problemi di sicurezza nel suo software o in quello di altre società. Il 30 settembre, questo team ha avvisato Microsoft dell'esistenza di una vulnerabilità in Windows 8.1 che potrebbe consentire a terze parti di ottenere il controllo di una macchina Windows 8.1 operativa. Lo ha fatto accompagnando l'avviso di un termine di 90 giorni per chi è a Redmond per risolverlo prima di renderlo completamente pubblico.

Quest'ultimo è quello che è successo la scorsa settimana. Dopo quei 90 giorni senza che Microsoft sia riuscita a risolverlo, la vulnerabilità è stata resa pubblica dal gruppo di ricerca di Google, permettendo a chiunque di conoscerla e spiegando in dettaglio come potrebbe essere sfruttato. Cosa che non è piaciuta a Redmond, dove si stava già lavorando a una soluzione. È piaciuto così poco che Chris Betz, senior director del Microsoft Security Response Center (MSRC), ha deciso di pubblicare una nota in cui si rammarica dell'azione di quelli di Mountain View e chiede una migliore intesa tra i team di sicurezza delle aziende.

Betz è molto critico nei confronti delle prestazioni di Google in materia. A quanto pare, di Redmond avrebbe chiesto al team di 'Project Zero' di ritardare la pubblicazione della sentenza fino al 13 gennaio, momento in cui avevano pianificato di distribuire una soluzione tramite le sue famose patch del martedì.Sfortunatamente, quelli di Mountain View non hanno accolto la richiesta e questo ha motivato la loro risposta difendendo un modo migliore di collaborare in questo tipo di situazione.

In Microsoft considerano sbagliata la strategia seguita da Google di avere un team di ricerca che trova le vulnerabilità nei prodotti concorrenti, aggiungendo pressione con un termine per risolverli e minacciando di pubblicarlo in caso di superamento. Non tutte le vulnerabilità rappresentano lo stesso livello di minaccia e spesso non hanno una soluzione rapida o la loro applicazione è più o meno complicata, quindi stabilire un conto alla rovescia per la loro pubblicazione non è il modo migliore per incoraggiare la loro soluzione.

Da Redmond sostenere maggiormente i ricercatori per avvisare privatamente le aziende di potenziali vulnerabilità e lavorare con loro su una soluzione senza imporre limiti temporanei o minacce pubblicazione.

Via | Microsoft