一个漏洞引发的暗战 谷歌这次选择与微软“刚正面”

　　近日，谷歌专门披露安全漏洞的部门“威胁分析集团”(Threat Analysis group)对外公布了 Windows 操作系统的一个临危级别的重大漏洞，同时发布相关补丁来保护 Chrome 用户。问题是，谷歌的 Chrome 保护补丁出来了，但微软官方的补丁还未诞生。谷歌这一举措彻底激怒了微软。

　　

　　微软发怒也合情合理。

　　首先，谷歌在最初发现该漏洞后及时告知了微软，微软得知后也开始开发相关补丁，但 10 天后谷歌突然将该漏洞公开，而此时的微软还未来得及完成补丁的开发。

　　此外，谷歌对 Windows 这一漏洞描述的较为具体：

　　由于该漏洞的存在，将允许攻击者利用 win32k 系统上的一处瑕疵躲避安全沙箱。一旦该漏洞被黑客利用，所发起的攻击所带来后果的严重性足以将该漏洞定为“临危”级别。目前该漏洞正在被频繁利用。

　　这就尴尬了：谷歌发布相关补丁来保护自己的 Chrome 浏览器用户，但 Windows 自身的漏洞还未解决就被扒出来公之于众，微软在黑客面前无异于“裸奔”。从表面上看，谷歌为了保护 Chrome 用户，卖了队友。说好的默契呢?

　　对此微软而言，谷歌披露的信息无疑将微软的客户置于风险之中，在补丁未完成的情况吓，如果让其他黑客熟知微软的漏洞，很有能会对其进行攻击。为此，微软给出紧急解决方案，建议客户使用 Windows 10 系统和微软的 Edge 浏览器。

　　面对微软的不满，谷歌则拿出自己制定的政策锅甩：他们表示，谷歌的举动符合在 2013 年自己制定的产品漏洞披露信息相关政策。谷歌在发现供应商产品上的某一漏洞后，会及时向其进行通报，并给出七天宽限期令其发布相关补丁。即在报告给外部公司七天之后，可以对外公开漏洞。

　　很多研究人员抱怨谷歌的这一政策过于苛刻，认为七天的宽限期，根本拿不出合适解决方案来应对复杂的安全漏洞。抱怨归抱怨，政策实施三年来，鲜有厂商对该项政策进行指责，也可能出于小厂商也无法与谷歌讨价还价的缘故。但这回中枪的恰恰是敢和谷歌比划的微软，面对微软，谷歌似乎也对这一漏洞的处理方式有所保留：谷歌的宽限期是七天，而这次对外公布微软的漏洞却推迟到了十天，可见谷歌在面对微软也是礼让三分。

　　可以想象，谷歌在面对公布还是不公布之间异常纠结，公布了则会惹怒微软。不公布也不行，毕竟自己制定的政策因为微软而持续延期，容易被别人盖上欺软怕硬的帽子，打自己脸。

　　为了让微软熄熄火，谷歌说到在他们公开的信息中，只是对该漏洞进行了一般性的描述，这些描述使得黑客并不能掌握系统的具体漏洞所在。与此同时，他们先是站在微软广大用户的立场去发声，旨在为用户提供足够的信息以识别可能的攻击，避免黑客轻易得手。并提醒用户，对于 Flash 软件要安装自动升级程序，另外要以最快的速度安装 Windows 操作系统的安全补丁。

　　随后谷歌又站在各大软件厂商的立场去声明，他们希望尽早对外公开、引发厂商注意，从而让各大厂商开发自己的补丁。

　　虽然谷歌认为自己公开的信息相对而言不那么具体，同时站在拥护广大用户和软件商利益的立场上。但在微软看来却并非如此，这些信息足以让黑客知道他们的病灶所在，使得微软 Windows 海量用户处于危险状态中，而且使得几乎所有的黑客都已经知道了漏洞的存在。