Microsoft est mécontent de Google et de la publication d'une vulnérabilité dans Windows 8.1

Résumons. L'été dernier, Google a annoncé la formation d'un groupe de recherche appelé "Project Zero" chargé de détecter et d'alerter sur les problèmes de sécurité de ses logiciels ou de ceux d'autres sociétés. Le 30 septembre, cette équipe a alerté Microsoft sur l'existence d'une vulnérabilité dans Windows 8.1 qui pourrait permettre à des tiers de prendre le contrôle d'une machine Windows 8.1 opérationnelle. Il l'a fait en accompagnant l'avis d'un délai de 90 jours pour ceux de Redmond pour le résoudre avant de le rendre entièrement public.

C'est ce qui s'est passé la semaine dernière. Après ces 90 jours sans que Microsoft n'ait pu finir de la réparer, la vulnérabilité a été rendue publique par le groupe de recherche Google, permettant à quiconque de la connaître et détaillant comment elle pourrait être exploité. Cela n'a pas été apprécié à Redmond, où ils travaillaient déjà sur une solution. Cela a tellement peu plu que Chris Betz, directeur senior du Microsoft Security Response Center (MSRC), a décidé de publier une note regrettant l'action de ceux de Mountain View et appelant à une meilleure entente entre les équipes de sécurité des entreprises.

Betz est très critique sur les performances de Google en la matière. Apparemment, de Redmond aurait demandé à l'équipe "Project Zero" de retarder la publication de la décision jusqu'au 13 janvier, date à laquelle ils prévoyaient de distribuer une solution via ses patchs bien connus du mardi.Malheureusement, ceux de Mountain View n'ont pas accédé à la demande et cela a motivé leur réponse en défendant une meilleure façon de collaborer dans ce type de situation.

Chez Microsoft ils considèrent que la stratégie suivie par Google est erronée d'avoir une équipe de recherche pour trouver des vulnérabilités dans des produits concurrents, ce qui ajoute de la pression avec un délai pour qu'ils soient résolus et menaçant de le publier s'il est dépassé. Toutes les vulnérabilités ne présentent pas le même niveau de menace et souvent elles n'ont pas de solution rapide ou leur application est plus ou moins compliquée, établir un compte à rebours pour leur publication n'est donc pas la meilleure façon d'encourager leur solution.

Depuis Redmond militez davantage pour que les chercheurs alertent en privé les entreprises des vulnérabilités potentielles et travaillez avec elles sur un correctif sans exiger de limites temporaires ou menaçantes publication.

Via | Microsoft