Microsoft заплаши изследовател по сигурността с наказателно преследване

Както съобщава технологичното издание TechCrunch [1], Microsoft се оказа в центъра на сериозен скандал в сферата на киберсигурността. Корпорацията заплаши с наказателно разследване и сътрудничество с правоприлагащите органи независим изследовател, който публично разкри серия от критични, нерешени уязвимости от типа „нулев ден“ (zero-day) [1].

Изображение: Svetni.me / Авторско изображение

Предистория на конфликта

Спорът е породен от действията на независим специалист, известен под псевдонима Nightmare Eclipse. Той реши да публикува работещ код за експлоатиране на критични пробиви в Windows Defender and BitLocker в платформите GitHub и GitLab, заобикаляйки стандартната процедура за Координирано разкриване на уязвимости (CVD) [1].

Като причина за това решение, изследователят посочи пренебрежителното отношение от страна на Центъра за отговор на сигурността на Microsoft (MSRC). Nightmare Eclipse твърди, че от компанията са отказали да му изплатят дължимите суми по програмата за откриване на бъгове (bug bounty) и са блокирали акаунта му, след като е изразил несъгласие [1].

Юридически заплахи вместо пач

В официален отговор, Microsoft остро разкритикува некоординираното споделяне на кода, заявявайки, че пускането на експлойти за непачван софтуер застрашава клиентите [1]. Най-голямо безпокойство обаче предизвика изявлението, че специализираното звено на компанията за борба с киберпрестъпленията — Digital Crimes Unit (DCU) — ще продължи да съдейства на полицията и прокуратурата срещу лица, извършващи подобни разкрития [1].

Журналистът Лоренцо Франчески-Бикиерай отбелязва, че софтуерната общност масово разчита тези думи като пряка юридическа заплаха към Nightmare Eclipse [1].

Опасения от „смразяващ ефект“

Множество ветерани в киберзащитата реагираха остро на позицията на Microsoft. Кейти Мусурис, създател на първата bug bounty програма на гиганта, определи поведението на компанията като „прекомерно“ и възпрепятстващо сътрудничеството [1].

Според нея и други експерти, заплахите с наказателно преследване ще доведат до опасен „смразяващ ефект“. Когато белите хакери се страхуват от съд и затвор, те спират да докладват откритите пропуски на производителите, което оставя потребителите беззащитни пред реални киберпрестъпници, търгуващи на черния пазар [1].

Източници:

[1]: Microsoft under fire for threatening security researcher with criminal investigation - TechCrunch