После последней эскалации в споре между Microsoft и исследователем безопасности Chaotic Eclipse, который за последние несколько недель из чувства разочарования опубликовал несколько эксплойтов для Windows, использующих уязвимости нулевого дня, Microsoft теперь опубликовала заявление по данному вопросу. В нем корпорация, среди прочего, угрожает исследователю уголовным преследованием. В сообществе специалистов по безопасности это отчасти вызывает резкую критику.
Microsoft в публикации в блоге (открывается в новом окне) обвиняет Chaotic Eclipse в том, что он не раскрыл ответственно уязвимости нулевого дня Redsun, Undefend, Bluehammer, Yellowkey, Greenplasma и Miniplasma, подвергнув тем самым пользователей Windows ненужному риску.
«Нескоординированные раскрытия, в результате которых код Proof-of-Concept для незапатченных уязвимостей попадает в руки злоумышленников, никогда не могут быть оправданы и имеют реальные последствия», — пишет корпорация. Компания неустанно работает над выявлением злоумышленников, «которые ищут именно такие уязвимости, чтобы атаковать Microsoft и наших клиентов».
Microsoft намекает на уголовное преследование
В следующем предложении содержится угроза Microsoft: «Наше подразделение по борьбе с цифровыми преступлениями будет продолжать возбуждать дела против этих лиц и тех, кто способствует их преступной деятельности, сотрудничая при необходимости с правоохранительными органами по всему миру».
Эта формулировка вызывает критику, в частности, со стороны исследователя безопасности Кевина Бомонта. В своем посте в блоге (открывается в новом окне) он подчеркивает, что несоблюдение общепринятых процедур ответственного раскрытия информации само по себе не является незаконным. Кроме того, учетная запись Chaotic Eclipse в MSRC была заблокирована, а вместе с ней и его возможность ответственно сообщать об уязвимостях в Microsoft.
Бомонт отмечает, что он также не одобряет методы работы Chaotic Eclipse. Тем не менее, по его мнению, Microsoft тоже перешла красную черту. «Microsoft следует сосредоточиться на разработке более качественных и безопасных продуктов, которые не может легко обмануть один человек», — считает исследователь.