Microsoft raser: Google er til fare for it-sikkerheden

To dage før Microsoft udsender en rettelse til Windows 8.1, har Google offentliggjort sårbarheden. Det har bragt Redmond-firmaet op i det røde felt.

Der opdages til stadighed sikkerhedsfejl i den software, som vi anvender.

Nu er der dukket en stridighed op blandt to af de største it-aktører i forbindelse med den praksis, der er omkring offentliggørelse af sårbarheder.

Microsoft har rettet en skarp kritik af konkurrenten Google for at have offentliggjort en sårbarhed i Windows uden, at Microsoft var klar med en rettelse.

Microsoft argumenterer for, at offentliggørelse er udtryk for en alt for stivnakket holdning hos Google og, at det er til skade for it-sikkerheden.

Google siger omvendt, at Microsoft har kendt betingelserne til offentliggørelsen af sårbarheden i tre måneder.

Google fortæller om 0-dag
Google har valgt at frigive detaljerede oplysninger om en 0-dags sårbarhed, som optræder i Windows 8.1, bare to dage før rettelsen var klar til download.

Der er tale om en sårbarhed, som potentielt kan misbruges til rettighedseskalering, eller til at opnå uautoriseret adgang til følsomme data under Windows 8.1.

Offentliggørelsen sker 90 dage efter, at Google har varslet Microsoft om problemet, og det er netop denne tidsfrist, der er anledning til skænderiet mellem de to kæmper.

Normal Google-praksis er, at 90 dage efter en varsling om et sikkerhedsproblem, fortæller søgegiganten åbent om opdagelsen. Uanset om der er en rettelse eller ej.

Google skriver om Microsofts sikkerhedsproblemer i dette blogindlæg

Den offentliggørelse er Microsoft blevet godt og grundig sur over, og firmaet svarer igen på denne blog.

Microsoft har nemlig rettet fejlen i den tirsdagsopdatering, der er kommet den 13. januar, men allerede den 11. januar fremlagde Google altså de tekniske detaljer.

Til fare for brugerne
I blog-indlægget skriver Microsoft, at Googles opførsel sætter brugerne i en faresituation, fordi eventuelle hackere får anledning til at udnytte sikkerhedshullet, før der er en patch.

Mere specifikt mener Microsoft, at Google har overtrådt den såkaldte Coordinated Vulnerability Disclosure-praksis som mange it-selskaber har tilsluttet sig.

Aftalen angiver i korte træk at sikkerhedsforskere, der opdager sårbarheder, skal koordinere med produktleverandøren for at varetage sikkerheden til brugernes bedste.

Samtidig har Google sin egen praksis, der indebærer, at alle selskaber får 90 dage til at lappe et hul, der er opdaget af Googles folk.

Google har iværksat den praksis i forbindelse med det såkaldte Project Zero, hvor en gruppe forskere afdækker sårbarheder.

90-dagesreglen er implementeret for at lægge pres på selskaberne, så sikkerhedsfejl bliver rettet hurtigt.

Windows 8.1-hullet blev opdaget den 13. november 2014, og ifølge Googles beskrivelse fik Microsoft en frist til den 11. januar til at lukke hullet.

Så Microsoft stod altså i en situation, hvor man enten skulle udsende en opdatering uden for cyklus eller se til, mens Google ville fortæller om sårbarheden.

Til trods for at Microsoft udmærket har været bekendt med denne tidsfrist, er Redmond-selskabet langt fra tilfreds med søgegigantens opførsel i denne sag.

"Det, der er rigtigt for Google, er ikke altid rigtigt for brugerne. Vi opfordrer Google til at gøre beskyttelse af brugerne til en kollektiv opgave," skriver Microsoft.

Ekspert: Der kommer flere drillerier fra Google
Faktisk har Microsoft tidligere fortalt til Google, at hullet først ville blive lukket til februar, men da Microsoft fik et svar fra Google om, at 90-dages fristen ligger fast for alle, ændrede Microsoft sin udgivelse af lappen til januar.

På den måde har Googles pres på producenterne, for at få hurtige løsninger, vist sig effektiv.

Men de to dage, der skiller offentliggørelsen og patchen, kan virke som en ufleksibel holdning, der har til formål at drille Microsoft og skræmme Windows-brugerne, lyder det fra en ekspert.

"Google har udmærket været klar over, at Microsoft var på vej med en patch. Det er ikke særlig god stil, at firmaet fortæller om en 0-dagssårbarhed, der er på vej til at blive lukket. Det skaber usikkerhed blandt brugerne, og giver hackerne en åbning," siger Peter Kruse, der er sikkerhedsekspert i firmate CSIS.

Er det et generelt problem i sikkerhedsbranchen?

"Nej, det er det ikke. Der er generelt en god forståelse mellem konkurrenterne, der kan give plads til at få lukket sårbarheder på en fornuftig måde. Det er faktisk kun Google, der har bestemt sig for, at de vil gøre det på denne måde."

"De har allerede drillet Apple i en lignende episode, og der vil komme flere. Det er dårligt for it-sikkerheden som helhed," siger den danske sikkerhedsekspert. 

Læs også:
IBM-folk afslører: Microsoft lukker kritisk Windows-fejl efter 19 år




Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
Alfapeople Nordic A/S
Rådgivning, implementering, udvikling og support af software og it-løsninger indenfor CRM og ERP.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
Nye muligheder for lynhurtig planning optimization i Dynamics 365 SCM

Hurtigere omstilling i virksomhedens supply chain er blevet et must og med de nye muligheder for lynhurtig planning optimization i Dynamics 365 SCM får du en fleksibel og skalerbar MRP-motor.

20. januar 2021 | Læs mere


Digital Vækst 2021

Vi ved, at fremtidens vindervirksomheder er digitale. På konferencen undersøger vi de tre vigtigste aspekter i den digitale transformation: Forretningsmodellerne, de menneskelige og organisatoriske faktorer samt valget af teknologier. I tre Digitale Dilemmaer giver vi en række digitale frontløbere fem minutter hver til at levere deres bedste guldkorn, og herefter åbner vi for spørgsmål fra salen – også digitalt. Diskussionen modereres af chefredaktør på Computerworld, Lars Jacobsen.

21. januar 2021 | Læs mere


Strategiske it-sikkerhedsdage 2021

God it-sikkerhed er blevet en strategisk disciplin der kombinerer ledelse, adfærd, processer og teknologi. Men hvor lægger du niveauet? Hvad er vigtigt for forretningen og den drift? Hvad er knapt så vigtigt? Hvordan indtænker du it-sikkerheds-indsatsen strategisk? Hvad gør du, når skaden er sket? Bliv klogere på ”Strategiske it-sikkerhedsdage 2021: Trusler, tendenser og værktøjer”.

26. januar 2021 | Læs mere






Premium
Blandt 18.000 indberetninger om databrud er menneskefejl den mest almindelige: Sådan undgår din virksomhed de mest basale databrud
18.000 anmeldelser om databrud er tikket ind hos Datatilsynet siden siden GDPR-loven trådte i kraft. "Mange af de fejl, som vi ser, beror på relativt banale fejl,” lyder det fra tilsynets it-sikkerhedspecialist Allan Frank. Se her, hvordan du relativt nemt kan undgå dem.
Computerworld
IBM vinder millionaftale om nyt toldsystem
Skatteforvaltningen har tegnet en tiårig kontrakt IBM om levering af det sidste it-system til i en omfattende systemudskiftning i toldsystemerne og som først forventes afsluttet i 2025. Se alle detaljerne her.
CIO
Podcast: Hos Viking Life-Saving Equipment er it gået fra at være backend til at være noget, som kunderne spørger aktivt efter
Podcast, The Digital Edge: Viking leverer en stadig større del af deres produkt som en tjeneste. Som en del af tjenesten tager Viking ansvar for sikkerheden ved at levere, dokumentere og vedligeholde det nødvendige sikkerhedsudstyr. Hør hvordan Henrik Balslev senior digital director hos Viking har løftet den opgave.
Job & Karriere
Microsoft i kæmpe dansk satsning - åbner tre store datacentre i Danmark
Microsoft lancerer kæmpe satsning fra hovedkvarteret i Lyngby. Selskabet åbner tre store bæredygtige datacentre på Sjælland.
White paper
Cisco Umbrella: Sådan udvikler truslerne sig netop nu
Hver eneste dag håndterer de mere end 30 datacentre under Cisco Umbrella mere end 240 milliarder forespørgsler fra 190 lande. Det giver sikkerhedseksperter hos Cisco Talos et enestående datagrundlag for at kortlægge, hvordan cybertrusselsbilledet udvikler sig. I dette whitepaper kan du læse, hvordan trusselsbilledet har udviklet sig hen over 2020. Men – endnu vigtigere – om, hvordan din organisation bedst forbereder sig på at håndtere truslerne i tiden der kommer.