Microsoft leest Google de les over veiligheid

Terry Myerson, hoofd van het Windows team, steekt niet onder stoelen of banken dat hij 'not amused' is over de werkwijze van Google na de ontdekking van een lek in Windows in oktober vorig jaar. Al 10 dagen na de melding aan Microsoft maakte Google de fouten openbaar.

Nu doet zich de omgekeerde situatie voor. Microsoft-onderzoekers ontdekten vorige maand een probleem in Chrome. Het team laat zich in een blog laatdunkend uit over de manier waarop Google beveiligingspatches uitbrengt. Jordan Rabet, lid van Microsoft Offensive Security Research team, legt in een blog uit dat op 14 september het probleem op een verantwoorde manier is gemeld bij Google. Hoewel het probleem binnen een week werd aangepakt in een bètaversie van Chrome, bleef de stabiele versie van de software meer dan een maand lang kwetsbaar.

Details op Github zetten hackers op het spoor

Wat de onderzoekers van Microsoft vooral steekt, is dat Google wel al voor het uitrollen van de patch in de stabiele versie op Github uit de doeken doet hoe de patch in elkaar zit. Dat geeft kwaadwillenden een maand de tijd om uit te vinden hoe zij de softwarefout kunnen misbruiken.

Rabet legt in de uitgebreide blog uit hoe de industrie zou moeten omgaan met het rapporteren van softwarefouten. Hij pleit voor intensieve samenwerking om de klanten van de softwarebedrijven veiligheid te kunnen garanderen.