Вячеслав Ансимов

На прошлой неделе компания Microsoft в очередной раз выступила с предложением ограничить распространение информации об дырах в программном обеспечении. Новое предложение прозвучало на конференции Trusted Computing Forum 2001, который проходил в Калифорнии под патронажем Microsoft.

Корпорация называла “информационной анархией” бесконтрольное распространение данных, которые могут быть использованы для нанесения ущерба. Когда “умельцы-энтузиасты” находят способ разломать тот или иной продукт, они тут же спешат громко оповестить общественность о найденной дыре. Для демонстрации своего “мастерства” они выкладывают подробные инструкции или программы для взлома или нештатного использования продукта. Безопасность пользователей при этом волнует их меньше всего, считает Microsoft.

Средства массовой информации также способствуют данному процессу. Все это приводит к тому, что дырой успевают попользоваться все, кому не лень, прежде чем компания успеет выпустить заплатку.

Предложения Microsoft состоят в том, чтобы продавцы ПО воздерживались от распространения информации о баге в течение 30 дней с момента его обнаружения. За это время должна быть изготовлена и проверена заплатка. Microsoft призвала всех разработчиков присоединиться к данной инициативе.

Инициатива действительно нашла понимание среди ряда фирм компьютерной безопасности, таких как @Stake, BindView, ISS, Foundstone и Guardent.

Однако некоторые компании и организации осудили любое сдерживание информации о дырах. Специалисты по безопасности отмечают, что Microsoft сама не слишком расторопна в исправлении дефектов. А если пользователи вовремя не оповещены об опасности, они становятся более уязвимыми для хакеров. Особенно это актуально, если угроза вполне реальна – как это бывает, когда червь или вирус уже начал распространяться среди пользователей.

Противники подхода Microsoft полагают, что в таких случаях полное раскрытие информации о дырах несет гораздо больше пользы, чем вреда.

ССЫЛКИ ПО ТЕМЕ

MS throttles research to conceal SW bugs – The Register, 09.11.01

Microsoft, Researchers Tussle Over Security Issues – Reuters, 06.11.01

МАТЕРИАЛЫ ПО ТЕМЕ

Новая дыра от Microsoft: ваши cookies может читать кто угодно – 12.11.01


Microsoft классифицировала свои критические дыры – 16.10.01


Программа для взлома серверов Microsoft разошлась по Сети – 04.07.01


Дыра позволяет доступаться к маршрутизаторам Cisco без авторизации – 02.07.01


Microsoft выпустил firewall с лазейкой для хакеров – 18.04.01


Через дыру в визитке Outlook может нанести визит хакер – 26.02.01


“Дыры” в Internet Explorer уже никого не удивляют – 27.09.00