Microsoft woest omdat Google opnieuw bug onthult

Google heeft een bug gevonden in CryptProtectMemory, de functie om geheugen te versleutelen in Windows 7 en 8.1. Het heeft die bug ook publiek gemaakt nadat een deadline van 90 dagen was verstreken.

Google had eerder al een bug gevonden die willekeurige gebruikers beheerdersrechten gaf, en had ook die vrijgegeven alvorens Microsoft een patch klaar had. Het bedrijf uit Redmond liet zijn ongenoegen daarover blijken in een lang blogbericht. Opmerkelijk detail: beide bugs zijn door dezelfde persoon ontdekt, James Forshaw.

[related_article id=”161452″]

Zwakke encryptie
De nieuwe bug gaat hem over het feit dat de encryptiesleutels niet sterk genoeg zijn en per ongeluk gevoelige informatie kunnen lekken of een kwaadwillige er toegang toe kunnen geven. Forshaw zegt dat dit ook zo ontworpen kan zijn door Microsoft “maar, omdat ik daar niet bij betrokken was, is dat moeilijk te zeggen”.

De bug werd ontdekt op 17 oktober. Microsoft kon ze voor 29 oktober reproduceren. Door compatibiliteitsproblemen haalde Redmond echter niet de deadline van 90 dagen van Google en werd de bug openbaar gemaakt.

“Microsoft informeerde ons dat een oplossing was gepland voor januari, maar ingetrokken werd wegens compatibiliteitsproblemen. De oplossing is nu dus voor februari voorzien”, aldus Forshaw.

Niet uit oprechte bezorgdheid
Dit is al de tweede keer in korte tijd dat Google een veiligheidsprobleem in Windows onthult, ondanks het feit dat Microsoft aan een oplossing werkt en vroeg om dat niet te doen. Na dat eerste keer publiceerde Microsoft al een lang blogbericht waarin een en ander aan de kaak werd gesteld. Volgens Microsoft doet Google dit meer als een soort “gotcha” (“ik heb je”), dan uit oprechte bezorgdheid voor consumenten.

Volgens Chris Betz van Microsoft worden kwetsbaarheden die niet onthuld worden en in alle stilte worden opgelost, haast nooit uitgebuit voor de patch beschikbaar is. Als een bug wel publiek gemaakt wordt, is de situatie natuurlijk helemaal anders, met cybercriminelen die meteen aanvallen opzetten met de bug als breekijzer.