مايكروسوفت تهدد باتخاذ إجراء قانوني بعد أن نشر باحث ثغرات لم تُصلَح مع كود استغلال
مايكروسوفت تتعرض لانتقادات بسبب نزاع الإفشاء
تتعرض مايكروسوفت لانتقادات بعدما حذّرت من أنها قد تتخذ إجراءات قانونية وتستعين بجهات إنفاذ القانون ضد باحث أمني نشر علنًا سلسلة من الثغرات غير المُصلَحة في منتجاتها، مصحوبة بكود إثبات المفهوم للاستغلال.
في منشور مدوَّنة نُشر يوم الأربعاء، انتقدت الشركة الباحث الذي يستخدم المعرف «نايت مير إكليبس» لنشر تفاصيل عن أخطاء قالت إنها أثّرت على منتجات تشمل مدافع Windows وبيت لوكر. قالت مايكروسوفت إن الإفشاء لم يكن "مسؤولًا" لأن العيوب لم تُصلّح قبل أن تُنشر المعلومات علنًا.
أعاد رد الشركة إشعال نقاش طويل الأمد حول كيفية تعامل باحثي الأمن مع الثغرات في منصات البرامج الكبرى، خصوصًا عندما تؤثر العيوب على أدوات مستخدمة على نطاق واسع من شركة تمتلك موارد مثل مايكروسوفت.
قالت الشركة إن بعض الثغرات التي أفصح عنها نايت مير إكليبس قد استُخدمت منذ ذلك الحين من قبل قراصنة في هجمات واقعية، وفقًا لما ذكرته الشركة ووكالة الأمن السيبراني الأمريكية CISA. وأضافت أن وحدة الجرائم الرقمية لديها ستواصل متابعة القضايا ضد من تظن أنهم يساهمون في أنشطة إجرامية، بما في ذلك من خلال التنسيق مع جهات إنفاذ القانون.
ادّعى نايت مير إكليبس، في سلسلة منشورات على المدونة خلال الأسبوعين الماضيين، أنه تواصل مع مايكروسوفت وقال إن الشركة أساءت معاملته. وادّعى الباحث أن مايكروسوفت ألغت وصوله إلى حسابه في مركز استجابة مايكروسوفت للأمن، البوابة التي يستخدمها الباحثون للإبلاغ عن الثغرات. واقترح الباحث أن ذلك ترك الإفشاء العام كخيار وحيد.
بعد ذلك نُشِرت الأخطاء على مستودعات مفتوحة المصدر، حيث رافقها كود يوضّح كيف يمكن استغلالها. وبمجرد إفشائها من دون وجود تصحيحات، تحوّلت المسائل إلى ثغرات يوم-صفر — عيوب كانت مجهولة لمُصنِّع البرنامج وقت الإفشاء أو الاستغلال.
تركز انتقادات مايكروسوفت على الحجة القائلة بوجوب إبلاغ الباحث عن الأخطاء بشكل خاص أولًا. موقف الباحث، كما عُرض في منشوراته، هو أن تعامل مايكروسوفت مع الموقف لم يترك له مسارًا ذا مغزى للإفشاء المسؤول. يضع النزاع الآن عملية استجابة مايكروسوفت للأمن تحت المجهر، ويثير أسئلة جديدة حول مكان الخط الفاصل بين البحث في مصلحة الجمهور والسلوك الذي قد يساعد المهاجمين.
المصادر:
تصفّح خصوصيًا مع Doppler VPN — لا سجلات، اتصال بنقرة واحدة.