Af Lars Bennetzen, Alt om Data
Denne artikel er oprindeligt bragt på Alt om Data. Computerworld overtog i november 2022 Alt om Data. Du kan læse mere om overtagelsen her.
Der kommer hele tiden nye opdateringer til Windows-styresystemet. De fleste af dem indeholder en eller anden form for sikkerhedsopdatering – for at lukke sikkerhedshuller i systemet. Microsoft vælger dog at være meget tilbageholdende med informationer om sårbarhedsproblemer. Ifølge mediet ITPro Today er det for at beskytte kunderne – for at forhindre, at de bliver udsat for såkaldte 0-dags-angreb.
Som alle softwareproducenter udsender Microsoft de såkaldte CVE’er, et id-nummer som sikkerhedsfolk kan bruge til at identificere, hvor seriøs en sårbarhed er; om den kan fikses, om den hænger sammen med andre sårbarheder og flere andre ting.
Men corporate vice president fra Microsoft Security Response Center, Aanchal Gupta, har til mediet Dark Reading oplyst, at virksomheden bevidst begrænser den information, man videregiver gennem CVE’er, og at det skyldes hensynet til kunder.
Hackerne læser med
Årsagen skal findes i, at jo mere information, der sendes ud om en sårbarhed, jo større sandsynlighed er der for, at hackere og cyberkriminelle vil gøre brug af den information, og derved udnytte sårbarheden. Hackere læser nemlig med.
Aanchal Gupta fortæller, at Microsoft har som mål at give sikkerhedsfolk detaljer nok til at installere en patch uden at sætte selve rettelsen i farezonen.
Ifølge ITPRO Today møder Microsofts strategi dog en del kritik. De manglende informationer om sårbarhederne gør det nemlig svært for sikkerhedsansvarlige at vurdere, hvor hurtigt man bør installere en patch, lyder kritikken.
