Project Zero ของกูเกิลมีนโยบายการเปิดเผยช่องโหว่ที่ค่อนข้างแข็งกร้าว คือกำหนดเวลาหลังติดต่อผู้ผลิต 90 วันและไม่มีการยืดเวลาให้อีก แต่ช่องโหว่ task_t ของ iOS และ OS X กลับได้รับสิทธิพิเศษเมื่อผู้บริหารของทั้งแอปเปิลและกูเกิลคุยกันโดยตรง
กูเกิลรายงานช่องโหว่การเข้าถึงสิทธิ์ root ของระบบผ่าน task_t ที่อิมพลีเมนต์ผิดพลาด โดยรายงานเมื่อกลางปีที่ผ่านมา เมื่อแจ้งทางแอปเปิลแล้ว ทางแอปเปิลก็แจ้งขอให้เลื่อนระยะเวลาประกาศช่องโหว่ออกไปอีก 60 วันทันที แต่ทาง Project Zero ปฎิเสธ
แอปเปิลปล่อยแพตช์สำหรับ iOS เมื่อเดือนกันยายนที่ผ่านมา แต่แพตช์แก้ไขไม่ครอบคลุมทั้งหมด โดยแอปเปิลระบุว่าเป็นการแก้ปัญหาระยะสั้น และขอให้ Project Zero เปิดเผยข้อมูลเฉพาะที่แพตช์แก้ไปแล้วเท่านั้น แต่ Project Zero ปฎิเสธเช่นเดิม (แพตช์ออกหลังครบ 90 วันไปแล้ว 11 วัน ซึ่งนโยบายของ Project Zero ยอมเลื่อนเวลาเปิดเผยให้อีก 14 วันในกรณีที่แพตช์กำลังออก)
เรื่องขึ้นไปถึงระดับผู้บริหาร เมื่อวันที่ 18 กันยายนที่ผ่านมา ผู้บริหารระดับสูงของแอปเปิลติดต่อไปยังผู้บริหารของกูเกิลโดยตรง ทำให้ Project Zero ยอมเลื่อนการเปิดเผยช่องโหว่ออกไป 5 สัปดาห์จนกระทั่งแอปเปิลปล่อย MacOS 10.12.1 เมื่อวานนี้
Ben Hawkes จาก Project Zero เปิดเผย timeline ของการเจรจาระหว่างสองบริษัท แสดงให้เห็นว่าแอปเปิลพยายามอย่างหนักที่จะเลื่อนการเปิดเผยช่องโหว่ออกไป โดยมีทั้งการประชุมร่วมกับทีมงาน Project Zero โดยตรง จนกระทั่งการติดต่อผ่านผู้บริหาร
ที่มา - Project Zero
Comments
แก้ไม่ทันจริงๆ หรือกลัวรูป Macbook Pro ในอีกข่าวหลุด 5555
ตอนแรกละแข็งจริงไมโครซอฟท์ขอละไม่ให้ เดี๋ยวนี้อ่อนปวกเปียกเลย:P
ทั้ง 2 บริษัทเคยเป็นคู่ขามหาสนุกครับ เลยไม่แปลกใจเท่าไร
Coder | Designer | Thinker | Blogger
น่าจะมีการฟ้องร้องได้เนอะ การเปิดเผยช่องโหว่มันสร้างความเสียหายให้ผู้ใช้งานจำนวนมากได้
การเปิดเผยจะทำต่อเมื่อแจ้งทาง apple ไปแล้ว90วัน หมายความว่า apple มีเวลาแก้ไขช่องโหว่นี้90วัน (เป็นการบังคับเพื่อให้ออกแพทซ์) ผมมองว่าไม่ได้ละเมิดผู้ใช้ยังไงนะครับ
แต่การไม่ปิดก็น่าจะร้ายแรงกว่าน่ะ เจอแล้วแจ้งให้ปิดน่าจะดีกับคนใช้แล้วก็เจ้าของผลิตภัณฑ์ด้วย ปลอดภัยทั้งคู่
แค่ Project Zero ไม่เปิดเผยก็ไม่ได้หมายความว่าคนอื่นจะไม่รู้นะครับ การบังคับแบบนี้ช่วยให้ patch ออกมาไวขึ้นด้วยซ้ำ ส่วนเวลา 90 วันนี้มันนานเกินพอเลย
มันไม่ง่ายเลยที่จะทำ GIF ให้มีขนาดน้อยกว่า 20kB
ผมมองว่า ถ้าตัวคนแก้ เขามีความพยายามจะแก้ไขจริงๆ ก็น่าจะเลื่อนได้นะครับ
มาตรการที่แข็งกร้าวนี้ จริงๆ มีขึ้นก็เพื่อกดดันให้ทางเจ้าของ ทำการ patch ให้เร็วที่สุด
แต่ในเมื่อของมันทำยังไม่เสร็จจริงๆ แล้วจะดึงดันประกาศออกไป ผมว่าก็ไม่ได้เป็นผลดีอะไรนะ
ข้อดีที่เห็นคือ ระดับผู้บริหารมาคุยเอง มันก็แสดงให้เห็นถึงความใส่ใจในช่องโหว่นี้จริงๆ
อาจจะเป็นการปรับตัวจากที่เคยมีกรณี Microsoft ไม่พอใจที่ Google เปิดเผยช่องโหว่ของ Windows ทั้งที่กำลังจะออกแพตช์มาแก้ ก็ได้ครับ ซึ่งตอนนั้นยังไม่มีการปรับเลื่อน 14 วันตามนโยบายในข่าวที่ว่า
ซึ่งนโยบายของ Project Zero ยอมเลื่อนเวลาเปิดเผยให้อีก 14 วันในกรณีที่แพตช์กำลังออกด้วยครับ เก้าสิบวันปุ๊บปล่อยเลยทั้งที่อีกสามวันแพตช์ออกหาก project zero กลับมาใช้นโยบายแข็งกร้าวอีกครั้ง ก็ฟันธงได้เลยว่ามีซัมติงกับพี่แอป ซินะ
3กรณี..1.แก้ไม่ทัน..2.ไม่แก้..3.เชื่อมั่นตนเกินไป
หรืออีกกรณีคือเลื่อนเพราะไม่อยากเสียหน้าที่สาวกช่วยพูดว่า ใช้ Mac OS X แล้วจะไม่โดนไวร้ส หรือเปล่า? เพราะเดี๋ยวนี้ก็ยังมีคนเชื่ออยู่
เป็นเหตุผลที่ไร้สาระเกินไปหรือเปล่าครับ เรื่อง security กับเรื่องไม่อยากเสียหน้านี่ระดับความเสียหายและผลกระทบมันแตกต่างกันเยอะเกินไปครับ
ใช่ครับ ดู Note 7 เป็นตัวอย่างสิ ฮาาา
มันก็ยังมีคนเชื่ออยู่นะครับ แล้วเอามาทับถมยี่ห้ออื่น ในเฟสนี่เต็ม
ถ้าเป็นเมื่อสัก 6-7 ปีที่แล้วนี่ผมยังเจออยู่บ้างนะครับ แต่ถ้าบอกว่าเต็มเฟซตอนนี้ผมแทบไม่เจอคนที่พูดแบบนี้แล้ว
ผมมองอีกรูปแบบนึง คือความเชื่อมั่นใน Project Zero ถูกลดทอนลง
ไม่ก็ต่อรองอะไรสักอย่างแล้ว apple ยอม
samsung ใหญ่แค่ใหน ?https://youtu.be/6Afpey7Eldo
บริษัทกูเกิล ขู่ Apple ที่ไม่ยอมทำตาม ฮ่าๆ
ทีของ Microsoft กระทบคนเยอะมาก พวกไม่เลื่อน ทีแบบนี้หล่ะเลื่อนให้
2 มาตรฐานชัดๆ
มองอีกทางหนึ่ง Microsoft ไม่อุด ถ้ายอมเลื่อนให้จะกระทบคนเยอะมาก ...
samsung ใหญ่แค่ใหน ?https://youtu.be/6Afpey7Eldo
จากเนื้อหาข่าวเก่าและแหล่งข่าวนั้น ไม่ใช่ไม่อุดนิครับ แต่อยู่ใน patch รอบต่อไปแล้ว ซึ่งจะออกในอีกไม่กี่วัน แต่ Google ไม่ยอม ปล่อยช่องโหว่ออกมาก่อน
กรณีของ ms เหมือนรอรอบหรือยึดติดกับรอบอัพเดทประจำเดือนหรือเปล่า คือแพทแก้เสร็จแล้ว แต่อีกไม่กี่วันจะถึงเวลามัดแพทรวมอัพเดททีเดียว ก็เลยจะไปปล่อยวันนั้นทีเดียว ซึ่งหากแพทมันสำคัญก็สั่งอัพล่วงหน้าทันทีก็ย่อมได้
รอบอัพเดทมีเป็น pattern ปรกติอยู่แล้ว รู้กันทั้งวงการ ส่วนของ Apple ไม่มี เสร็จแล้วค่อยปล่อย ของ Apple หนักกว่าคือทำไม่เสร็จแล้วขอเลื่อน
ปฏิเสธการเลื่อนเหมือนกันคงมาตรฐานเดียวกันล่ะ แต่ต่างตรง A ผู้บริหารตามจิกต่อ M ปล่อยผ่าน
ตามจิกไม่จิกไม่เกี่ยวนิครับ เรากำลังถามหามาตราฐานเดียวกันในการดำเนินงาน
ทำอย่างนั้นก็ไม่ใช่มาตรฐานเดียวกันอยู่ดีครับ สมมติว่าคุณเป็นบริษัทซอฟท์ที่ไม่ได้สนิทสนมขนาดคุยกับผู้บริหารกูเกิลได้ คุณจะทำอย่างไรครับ?!?
มองแบบกลางๆ นะ
1. ความสัมพันธ์ (ลำเอียงนั่นเอง)2. เป็นการปรับปรุงหลังกรณี MS ครั้งก่อน Project Zero คงต้องการ "ผ่อนปรน" มากกว่ามีปัญหาอีกรอบก็เลยยอมประณีประนอมดีกว่า ซึ่งถ้า MS มาขอรอบใหม่ ก็อาจจะได้เหมือนกัน
3. quid pro quo ทั้งสองอาจจะมี "ดีล" อย่างอื่นที่ไม่เปิดเผย
iPAtS
คงต้องรอดูรอบต่อๆ ไปว่าจะผ่อนปรนได้แค่ไหน และได้การผ่อนปรนบนมาตราฐานเดียวกันหรือเปล่าด้วยแหละ
ผมก็มองแบบนั้นนะครับ โดยเฉพาะสายสัมพันธ์ในอดีตที่เหนียวแน่นอย่างมาก
Coder | Designer | Thinker | Blogger
ติ่ง microsoft แด๊นซ์กันใหญ่
ถ้าผู้บริหาร google ไม่สั่ง ไฉนเลยพนักงานจะเลื่อนเองได้
แทนที่จะว่าไม่เท่าเทียม เคยคิดไหมว่า ms มันเทอะทะซะจนทำแบบนี้ไม่ได้
แล้วลองคิดถึงตัวเองกันบ้างว่า หัวหน้าของพวกคุณน่ะ ลงมาออกหน้า ปกป้อง ดูแล ลุยงาน ตอบสนองข้องเรียกร้องของพวกคุณแค่ไหนกัน
ผมว่าปัญหามันอยู่ที่ความเป็นกลางของ Project Zero มากกว่าที่ MS ถูกปฏิเสธคำขอเลื่อนเวลา แต่ Apple กลับขอเลื่อนได้ และต่อให้อ้างว่าตอน MS นั้นไม่มีกฎเลื่อนได้อีก 14 วันหากแพตช์กำลังจะออก แต่หลังจากครบ 104 วันไปแล้ว Project Zero กลับไม่เปิดเผยช่องโหว่ที่ว่าเพราะผู้บริหารขอมา ซึ่งแสดงให้เห็นว่า Project Zero ไม่ได้ทำตามกฎที่ตัวเองเป็นคนตั้งเองกับทุกคนครับ
เคยมีคนสนับสนุน Google ว่าการกระทำดังกล่าวในการออกช่องโหว่ตามเวลาปรกติ 90 วัน ว่า "มันเป็นระบบอัตโนมัติพอถึงเวลาก็ปล่อยตามที่ตั้งไว้" แต่จากกรณีนี้ ทำให้สรุปได้ว่า ไม่ใช่ตามนั้น แต่เป็นนโยบายบริหารที่คงมีการเปลี่ยนแปลงไปตามยุคสมัย แน่นอนว่าทำแบบนี้ ทำให้ลดความน่าเชื่อถือของโครงการลงในความเป็นกลาง เพราะที่มีกรณีกับ Microsoft ก็มีการประสานงานเลื่อนออกช่องโหว่เพื่อเป็นไปตามรอบ Patch ของบริษัท ซึ่งมีรอบชัดเจนอยู่แล้ว ( อ้างอิง ) หากไม่รักษามาตรฐานไว้ก็เละอย่างที่เห็น เพราะตัวเองเป็นคนร่างกฎเอง แต่ตัวเองก็ทำลายกฎนั้นเสียเอง
สรุป คนใช้ OS X ก็โชคดีไป ส่วนคนใช้ Windows ก็ซวยไป ก็แค่นั้นเอง
ก็จบลงด้วยดี คนใช้ไม่สนใจหรอก
แบบนี้ก็ไม่มีความเป็นมาตรฐานเอาเสียเลย ....
The Dream hacker..
ทำไม treat Project Zero ซะหยั่งกะเป็นมูลนิธิ เค้าก็มีสิทธิ์ตัดสินใจเพื่อผลประโยชน์ของเค้า
ผมไม่ได้ praise Googler เท่าไหร่นะ (ประสบการณ์ตรง) แต่คิดว่าเค้าก็คงมี justification ที่ดีพอ ที่จะเลื่อนแหละ
ครับ คงมีผลประโยชน์ที่ได้รับมากพอที่จะทำให้เลื่อนออกไปได้
ก็แค่ 2 บริษัท ฯ มอง MS เป็นคู่แข่งหลักที่พร้อมจะทำทุกอย่างทุกวิถีทางให้ MS อยู่ลำบากก็แค่นั้นแหละ แต่ส่วนของตัวเองก็หยวน ๆ กันไป
ตรงมาก
น่าเกลียดมากครับ จะบังคับหรือจะหยวนๆ ก็เลือกเอาซักทาง เลือกปฏิบัติแบบนี้จะน่าเชื่อถือได้ยังไงว่า คนที่ถูกบังคับวันไม่ใช่การกลั่นแกล้งกันทางธุรกิจ
นายสั่งมา
คิดจะขู่แอปเปิ้ล ฝันไปเถอะใหญ่มานานไม่มีวันล้ม
Know who > know howอยู่แล้ว