谷歌频频揭短微软系统漏洞 或为推进Project Zero项目

北京商报记者吴辰光

谷歌揭微软的短似乎上了瘾。近日，谷歌在其Project Zero页面上公布了多项Windows安全漏洞，而这距离其上次揭短还不到一周。

Project Zero是谷歌所发起的一个互联网项目，其目的是揭示全球性软件所存在的安全问题，随后向厂商进行通报，并给予他们90天的时间来修复或公布问题。如果厂商无动于衷，谷歌就会将其公开。

谷歌此次所公布的安全漏洞可让攻击者伪装成用户对Windows 7或Windows 8.1的数据进行解密或加密。据悉，谷歌在2014年10月17日向微软通报了漏洞的存在，但微软在90天内并未采取任何行动。

“微软通知我们称，他们原本计划在1月推出修复补丁，但兼容性问题导致了发布的延期，”谷歌的一名研究员在页面上留下了这样的评论，“因此，修复补丁预计会在2月发布。”此外，谷歌本次披露的另一个漏洞在危险性上要低一些，它可让攻击者看到电源设置当中的信息。谷歌和微软都认为这个问题并不大，因此微软并未打算对其进行修复。

实际上，这已不是谷歌第一次披露微软的漏洞。上周，谷歌就曾披露微软Windows 8.1登录功能模块中的漏洞，这一漏洞将使得黑客可以取得设备的控制权。但对于此次披露，微软则公开表达了不满。

微软安全总监克里斯·贝斯表示，微软曾请求谷歌在90天宽限期过后的两天后再公布上述漏洞，因为微软已经计划向用户推送修复补丁，但谷歌却执意在90天宽限期内就公布漏洞，这一过于死板的做法像是在陷微软于不义，最终伤害的还是普通互联网用户。

“随着互联网安全环境越来越复杂，在应对所有网络安全的状况时，企业应该联合到一起，而并不是为了各自利益采取措施。对于微软来说，制作出有效的补丁需要一定的时间，提前公开漏洞信息对于遇到问题的公司来说也非常不公平。”克里斯·贝斯说道。

对于谷歌的做法，业界也是褒贬不一。有网络安全领域的研究人员认为谷歌的行为是不正确的，对可能由于谷歌公司此次行为受到影响的用户表示遗憾，这已经是谷歌公司第二次因透露微软漏洞而受到批评。

但支持谷歌的声音却认为，软件开发公司应尽早发现并解决安全漏洞问题。英国知名“零日漏洞查杀”专家、“零项目”研究员本·霍克斯表示，总的来说，谷歌给予所发现漏洞的90天限期是合理且经过深思熟虑的。因为这一宽限期不仅给了软件厂商充足的时间去修复漏洞，同时也给了用户足够的尊重，并让他们了解自己所面临的安全风险。

另有分析认为，谷歌之所以跟微软“过不去”，还是源自于这两家公司一直以来的竞争关系，其实双方的恩怨由来已久。2012年，微软上线了“Scroogled.com”的网页，专门批评谷歌公司及其旗下产品，该网页直到前不久才下线。去年，谷歌遭受欧盟反垄断监管机构的指责，而这背后就是微软牵头的几家公司告的状。

如此看来，微软被谷歌揭短似乎并不冤枉，这也许是双方之间的另一种竞争手段，而这样的竞争或许还会持续下去。