माइक्रोसॉफ्ट ने कानूनी कार्रवाई की धमकी दी जब शोधकर्ता ने अनपैच्ड बग और एक्सप्लॉइट कोड प्रकाशित किए
खुलासे विवाद पर माइक्रोसॉफ्ट पर आग
माइक्रोसॉफ्ट की आलोचना हो रही है क्योंकि उसने चेतावनी दी है कि वह एक सुरक्षा शोधकर्ता के खिलाफ कानूनी कार्रवाई कर सकता है और कानून प्रवर्तन को शामिल कर सकता है, जिसने सार्वजनिक रूप से अपनी उत्पादों में दर्ज एक श्रृंखला अनपैच्ड कमजोरियों का विवरण और प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट कोड प्रकाशित किया।
बुधवार को प्रकाशित एक ब्लॉग पोस्ट में कंपनी ने उस शोधकर्ता की आलोचना की, जो हेंडल “नाइटमेयर इक्लिप्स” का उपयोग करता है, क्योंकि उसने उन बग्स का विवरण प्रकाशित किया जिन्हें कंपनी के अनुसार Windows डिफेंडर और बिटलॉकर सहित उत्पाद प्रभावित कर रहे थे। माइक्रोसॉफ्ट ने कहा कि यह खुलासा "जिम्मेदार" नहीं था क्योंकि जानकारी सार्वजनिक किए जाने से पहले उन दोषों को पैच नहीं किया गया था।
कंपनी की प्रतिक्रिया ने लंबे समय से चल रहे इस बहस को फिर से जगाया है कि सुरक्षा शोधकर्ताओं को बड़े सॉफ़्टवेयर प्लेटफॉर्म्स में कमजोरियों के साथ कैसे निपटना चाहिए, खासकर जब त्रुटियाँ किसी ऐसी कंपनी के व्यापक रूप से उपयोग किए जाने वाले उपकरणों को प्रभावित करती हैं जिसके पास माइक्रोसॉफ्ट जैसी संसाधन क्षमता है।
माइक्रोसॉफ्ट ने कहा कि नाइटमेयर इक्लिप्स द्वारा उजागर कुछ कमजोरियों का बाद में असली दुनिया के हमलों में हैकर्स द्वारा उपयोग किया गया है, कंपनी और अमेरिकी साइबर सुरक्षा एजेंसी CISA के अनुसार। कंपनी ने यह भी कहा कि इसकी डिजिटल क्राइम्स यूनिट उन मामलों का पीछा जारी रखेगी जिन्हें वह आपराधिक गतिविधि में योगदान देने वाला मानती है, और इसमें कानून प्रवर्तन के साथ समन्वय भी शामिल है।
नाइटमेयर इक्लिप्स ने पिछले कुछ हफ्तों में एक श्रृंखला ब्लॉग पोस्टों में दावा किया कि वे माइक्रोसॉफ्ट से संपर्क में थे और कहा कि कंपनी ने उनके साथ अनुचित व्यवहार किया। शोधकर्ता ने आरोप लगाया कि माइक्रोसॉफ्ट ने उनके Microsoft Security Response Center खाते तक पहुंच रद्द कर दी, वह पोर्टल जिसका उपयोग शोधकर्ता कमजोरियों की रिपोर्ट करने के लिए करते हैं। शोधकर्ता ने संकेत दिया कि इससे सार्वजनिक खुलासा ही एकमात्र विकल्प रह गया।
फिर ये बग ओपन सोर्स रिपॉजिटरीज़ पर प्रकाशित किए गए, जहाँ उनके साथ ऐसा कोड भी जोड़ा गया जो दिखाता था कि उन्हें कैसे एक्सप्लॉइट किया जा सकता है। पैच न होने की स्थिति में सार्वजनिक रूप से उजागर किए जाने के बाद, ये मुद्दे ज़ीरो-डे बन गए — ऐसे दोष जो खुलासे या शोषण के समय सॉफ़्टवेयर निर्माता के लिए अज्ञात थे।
माइक्रोसॉफ्ट की आलोचना का केंद्र यह तर्क है कि शोधकर्ता को पहले निजी तौर पर बग रिपोर्ट करनी चाहिए थी। शोधकर्ता का रुख, जैसा कि ब्लॉग पोस्टों में प्रस्तुत किया गया है, यह है कि माइक्रोसॉफ्ट की प्रक्रिया ने उन्हें जिम्मेदार खुलासे का कोई सार्थक रास्ता नहीं छोड़ा। यह विवाद अब माइक्रोसॉफ्ट की सुरक्षा प्रतिक्रिया प्रक्रिया की जांच के दायरे में ला रहा है, साथ ही इस बात पर नए सवाल उठा रहा है कि सार्वजनिक हित के शोध और ऐसे व्यवहार के बीच सीमा कहाँ है जो हमलावरों की मदद कर सकते हैं।
स्रोत:
Doppler VPN के साथ निजी रूप से ब्राउज़ करें — कोई लॉग नहीं, एक टैप में कनेक्ट.