Microsoft reproche à Google d’avoir divulgué des informations sur le bogue de Windows 8.1

Microsoft ha criticado a Google por revelar públicamente una vulnerabilidad en Windows 8.1 antes de que tuviera la oportunidad de solucionarla. La falla, que podría permitir a un atacante obtener privilegios elevados en un sistema, fue reportada por el equipo Project Zero de Google el 29 de diciembre de 2023. Sin embargo, Microsoft dijo que solo se le dio un plazo de 90 días para solucionar el problema, que expiró el 27 de enero de 2024.

Dans un billet de blog, Chris Betz, directeur principal de la réponse de Microsoft en matière de sécurité, a déclaré que la politique de Google consistant à divulguer automatiquement les failles de sécurité après 90 jours «s’apparente moins à des principes qu’à un ‘gotcha’, et que les clients risquent d’en souffrir». «. Selon lui, Google aurait dû se coordonner avec Microsoft et d’autres fournisseurs pour s’assurer que les clients étaient protégés avant de rendre les détails publics.

M. Betz a également indiqué que Microsoft prévoyait de publier un correctif pour le bogue le 10 février 2024, dans le cadre de son cycle mensuel de mise à jour de sécurité. Il a déclaré que la divulgation de Google avait exposé les clients à un risque potentiel et ne tenait pas compte de la complexité des tests et du déploiement des correctifs pour des millions d’appareils.

Le Projet Zéro de Google est une équipe de chercheurs en sécurité qui recherchent les vulnérabilités dans les logiciels les plus répandus et les signalent aux fournisseurs. L’équipe a pour politique de donner 90 jours aux éditeurs pour corriger les problèmes, après quoi elle publie sur son site web les détails techniques et le code de démonstration du concept. Google explique que cette politique vise à améliorer la transparence et la responsabilité dans le secteur de la sécurité et à encourager les éditeurs à corriger leurs produits plus rapidement.

Toutefois, certains fournisseurs et experts en sécurité ont reproché à Google d’être trop rigide et de ne pas tenir compte des difficultés réelles liées à l’élaboration et au déploiement des correctifs. Ils estiment également que Google ne devrait pas divulguer les vulnérabilités que les pirates n’exploitent pas activement, car cela pourrait leur donner un avantage sur les défenseurs.

Microsoft et Google se sont déjà affrontés par le passé sur des questions de sécurité. En 2010, Google a accusé Microsoft de copier ses résultats de recherche et de les utiliser dans son propre moteur de recherche, Bing. En 2012, Microsoft a accusé Google de contourner les paramètres de confidentialité des utilisateurs d’Internet Explorer et de suivre leurs activités en ligne. En 2013, Microsoft a lancé une campagne intitulée «Scroogled», qui reprochait à Google de scanner les courriels des utilisateurs de Gmail à des fins publicitaires.

Microsoft a exprimé sa déception à l’égard de Google pour avoir divulgué une vulnérabilité de Windows 8.1 deux jours avant la publication d’un correctif.

L’équipe Project Zero de Google, qui recherche des failles de sécurité dans divers logiciels, a pour règle de divulguer les détails de toute faille 90 jours après en avoir informé le fournisseur.

Ainsi, lorsque Microsoft a été informé d’un problème avec Windows 8.1 le 13 octobre, il a demandé à Google de le garder confidentiel jusqu’au 13 janvier, date à laquelle il prévoyait de déployer un correctif dans le cadre de son correctif habituel du mardi.

Cependant, Google a décidé de publier des informations sur le bogue (et le code nécessaire pour l’exploiter) le 11 janvier.

«Nous demandons à Google de collaborer avec nous pour protéger nos clients en ne divulguant pas de détails jusqu’à ce que nous publions un correctif», a écrit Chris Betz, directeur du Microsoft Security Response Center, dans un billet de blog.

Il a ajouté que le moment était venu pour les chercheurs en sécurité et les éditeurs de logiciels de collaborer, et non de se diviser sur des stratégies de protection importantes, telles que la divulgation des vulnérabilités et les mesures correctives.

Microsoft suit la pratique de la divulgation coordonnée des vulnérabilités (CVD), qui encourage ceux qui les trouvent à signaler les failles directement aux fournisseurs des produits concernés, afin de «limiter la fenêtre d’opportunité pour que les clients et leurs données soient mieux protégés», a déclaré M. Betz.