Microsoft kritiserar Googles hantering av säkerhetsuppdateringar

MS har erfarenhet av hanteringen den typen av hantering sedan tidigare
-Inte helt Open Source men...

https://www.engadget.com/2017/10/17/microsoft-bug-database-hacked-in-2013/

Tänkte lite på det också @ronnylov då det finns en hel del 3:e part utvecklare av liknande webbläsare. Frågan är då om detta är en nackdel/problem med just open source, och hur ska man hantera den?

Var är liksom skillnaden mellan en hackare som aktivt letar efter denna typ av info, vs en som vill kompilera en patch för sin version av mjukvaran? De båda kommer ju ur open source synpunkt vara precis lika "vanliga personer" på utvecklings siter som Github.

MS är fortfarande besatta i att säkerhet är att dölja sina fel, vilket låter konstigt. @krigelkorren

Lite kulturkrockar här tror jag. Stängd källkod sitter ju i Microsofts DNA så att säga, medans Google kör open source. Visst har Microsoft blivit bättre men än är de inte lika öppna som google.

Så jag tycker faktiskt att Microsoft ska hålla käften och inte gapa så mycket. Man ska inte kasta sten i glashus.

I teorin skulle du själv kunnat kompilera en build från källkoden direkt när den släpptes om du hade haft mer bråttom. Normalt lägger man in buggfixar i en unstable bransch innan den hamnar i stable så 3 dagar låter som ganska snabb hantering ändå kan jag tycka.

Men jag är inte helt säker på om chrome är öppen källkod helt och hållet så att man själv kan kompilera det? Chromium är ju det men chrome har väl en del extra saker inlagda.

Själv föredrar jag att kod är öppen så den kan granskas innan man installerar den. Vem vet vilka nya buggar som kan ha införts. Tack vare att koden är öppen får man kanske in nya buggrapporter och förslag på buggfixar från andra som tittat på koden. Då är det ju bara bra att det legat öppet så de inte släpper något ingen kunnat titta på.

Finns två sidor alltså. Å ena sidan kan öppen kod utnyttjas i onda syften av andra men å andra sidan kan öppen kod hindra onda syften eller misstag från tillverkaren samt också göra att folk lämnar in förbättringsförslag. Med hemlig kod har man ju ingen aning om vad koden gör.

Den är inte fixad på iOS heller. Frågan är om den är fixad till Windows Phone, hade inte förvånat mig om den inte var det.

Det är fixat i LineageOS

Chrome är inte helt OpenSource nej, Den kommer med deras proprietära tjänster som inbyggd Flash, PDF läsare och lite annat smått.

Det är redan fixat i Lineage, la in det igår.

Läs mitt inlägg igen. Särskillt: "Visst har Microsoft blivit bättre men än är de inte lika öppna som google."

För oss som nu får den uppdateringen vill säga. Android är ju ökänt för att vara selektiv med sina uppdateringar

Microsoft har långt kvar men det är på god väg. Microsoft har aldrig varit en kämpe för öppen källkod och har gjort galna beslut. Det går inte att göra annat än att applådera för att det är på bättringsvägen.

En liten grej om "contributors"...
Contributors är en intressant "metric" som github använder. Värt att notera att exempelvis en buggrapportering från person X räknar in personen som en "Contributor". Skriver man i diskussionsdelen i ett projekt räknas man också in. Det är troligtvis inte fel att räkna in det men jämförelsemässigt så KAN det bli missvisande då en dålig produkt med många felaktiga beslut "rankas högre" än de som är bra.

Förstår oron, och har delade åsikter själv.

Men frågan är då mer... om du nu väntar och patchar det i alla stängda system, men inte låter de öppna säkras i tid, blir det mer säkert? De som vinner på det är ju de stängda systemen, men de som är öppna förlorar på det, då de hela tiden måste komma i kapp.

Och om de stängda vägrar ta tag i det och öppet fixa det, som i MS databas ovan... eller Yahoo som blir hackat gång på gång... är det bättre? Om nu stängd källkod är så bra, varför måste vi ha så enormt många säkerhetspatchar från dessa tillverkare av dem? De borde ju vara säkra, eller?

Min poäng är, din åsikt ovan förutsätter att hackarna endast kan använda "ett hål", om någon berättar den för dem, vilket inte är sant. De letar hål konstant... Men däremot de som ska säkra allt hade ju säkrat hålen om de vetat om dem. Så de om någon behöver ju denna infon så snabbt som möjligt. Så väntar man är risken att hålen hamnar hos en hackare ändå, och du sitter på pottan ändå.

Kommer detta leda till en större osäkerhet i mellan "släppt öppet" och "patchat"... helt klart. Men är det viktigaste inte att man säkrar det på alla ställen (öppen källkod som stängd), istället för att riskera att en hackare får infon på annat sätt? Om de som ska säkra det är snabba också, minimerar man ju riskerna. (Och låter hackarna jaga sina egna svansar istället...)

Detta kan du skylla på tillverkaren av din telefon. De som kör rent android får faktiskt massor med patchar. Min Motorola tex får patchar mer ofta än jag ens önskar... så att säga, med dens rena Android. Så nästa gång du väljer telefon... välj en som har bra uppdateringar och rent Android system.

De som modifierar sina (även operatörer som gör det) är i sin tur sedan ansvariga för att dessa underhålls. Så gnäll på dem...

Jag är med på vad du säger, men det jag tänker är ju att just eftersom hackare ständigt letar efter hål, så är det ju inte otänkbart att de snabbt börjar utnyttja hålet medan säkerhetspersonalen ännu inte hunnit agera, och under denna tid kan det bli problem, vilket jag ser att du även skrivit att du är med på. Sedan är det ju kanske värt att förtydliga att det i det här fallet inte handlar om att problemet hålls dolt från säkerhetsföretagen, utan att detaljerna om problemet hålls dolda för allmänheten tills det är helt täppt.

Jag vill också ta exemplet med hålet som hittats i WPA2 nyligen. Som jag förstått det har man där valt att inte gå ut med koden som utnyttjar hålet, utan väntar några veckor så att utvecklarna ska få en chans att täppa igen hålet så det inte blir "kaos". Och det tycker jag fortfarande låter som det rimligare tillvägagångssättet.

Åter igen visar Microsoft att de inte greppar vad "open source" egentligen innebär. Genom att publicera patchen kan de som distruberar kompilerade versioner av koden, t.ex. Debian, Red Hat och Novell, dra nytta av fixen direkt. Debian till exempel patchade mot KRACK flera timmar innan nyheten plockades upp av "mainstream media" tack vare att patchar dök upp väldigt snabbt och att de, precis som många andra stora distributioner, har ett eget alert säkerhetsteam som porterar patchar till deras stabila versioner av paketen.

Med det sagt är 3 dagar trots allt en ganska kass responstid för en förstapartsdistribution som Chrome i Windows, om nu uppgifterna stämmer. Misstänker att siffrorna är saltade med alla möjliga extra förseningar som Microsoft kunde hitta, till exempel genom att kolla på "worst case" för Googles egna uppdateringstjänst. Google brukar trycka ut uppdateringar gradvis för att minska lasten på sina servrar så jag tvivlar mycket starkt på att 3 dagar gäller alla system.

Skickades från m.sweclockers.com