GoogleのProject Zero、バグ開示の新ポリシーをテスト 15
緩和 部門より
headless曰く、
GoogleのProject Zeroが1月1日以降ベンダーに報告したバグについて、開示ポリシーの変更をテストしているそうだ（Project Zeroのブログ、The Verge、Softpedia、Android Police）。
これまでProject Zeroではパッチが迅速に開発されることを目標としており、ベンダーへの報告から90日後またはパッチ提供開始のいずれか短い期間経過後にバグを開示していた。2015年には報告から90日以内にパッチは完成したものの、提供開始が間に合わない場合などに限って14日間の猶予期間を追加できるようになっている。ただし、いずれの場合もパッチ提供開始時点でバグの詳細やPoCが公開されてしまうため、パッチが不完全であった場合に引き起こされる問題や、パッチ未導入のユーザーを危険にさらすといった問題があった。
1月1日からテストしている新ポリシーではパッチの迅速な開発のほか、徹底的にバグが修正されること、パッチがユーザーに浸透することを目標に加えている。そのため、パッチ公開済みかどうかにかかわらず、バグの開示は報告から90日後になる。ただし、猶予期間内に関しては、これまでパッチの公開からしばらくしてバグを開示することになっていたが、新ポリシーでは即時開示となる。また、パッチに不完全な部分が見つかった場合はベンダーに報告し、既存のバグリポートに追記されるが、バグリポートが既に公開されている場合はパッチの問題点もその時点で開示されることになるようだ。
なお、既に攻撃が確認されているバグについてはこれまでと同様、報告から7日後に開示される。新ポリシーのテストは12か月間にわたって行われ、その結果を踏まえて今後のポリシーを検討するとのことだ。
meltdown/spectreみたいなのが見つかったら (スコア:0)
meltdownやspectreみたいな大きな脆弱性が見つかれば、
3か月じゃ対策が間に合わないのはあきらかでしょう
その場合は特例発動するのかな？
またandroidの脆弱性の場合、googleが提供してる素のandroidはともかく、
いろんな会社が提供してるandroid機器は、アップデートが間に合わないのでは
Re: (スコア:0)
いろんな会社が提供してるandroid機器は、アップデートが間に合わないのでは
穴3ヶ月以上空きっぱにしなきゃならんもんを有料で売ってるほうが悪い
顧客側が不買運動していいと思うよ
Re: (スコア:0)
パッチ提供と攻撃コード、よーいドン (スコア:0)
わざわざパッチと同時に開示する意義がいまだによくわからない
信念的でなく論理的なメリットって何かあるの？
Re:パッチ提供と攻撃コード、よーいドン (スコア:1)
利用者側は「そのパッチは何のために必要なのか」の情報によってパッチ適用の優先度やタイミングを判断するのでどうせパッチ提供といっしょに必要な情報。
その情報はGoogleではなくパッチ提供者が出すのが筋なのでは、とは思うけど同じ原因で起きる複数のバグとか攻撃パターンだとパッチ提供者の情報からは抜けてたり隠してたりもあるので第三者からも情報が出るのは無意味じゃないと思うな。
Re: (スコア:0)
それってほぼ「提供者が開示する際のメリット」の説明であって
第三者がポリシーを押し付けるメリットにはなってないような…
Re: (スコア:0)
「提供者が開示する際のメリット」があるのは十分大きな理由になると思うけど
Re: (スコア:0)
利用者側は「そのパッチは何のために必要なのか」の情報によってパッチ適用の優先度やタイミングを判断するのでどうせパッチ提供といっしょに必要な情報。
つまり一般利用者には不要ってことだね!
# 逸般Android利用者ですので自前で焼きますね
Re: (スコア:0)
建前は記事に書いてある通り
本音は競合他社に圧力を加え続けること（1ダメージの攻撃でも9999回繰り返せば9999ダメージの攻撃と同じ）
だから当然、自分たちが当事者の場合はダンマリとかダブスタ全開
Re: (スコア:0)
自分たちの情報発信が注目されるようにはなるよね。毎日みないとヤバイことが書いてあるかもしれないわけだから。
だいたい、ポリシーのテストってなんだよ。別に都合悪けりゃ何度変えてもいいものをわざわざテストと称するなんて中二病。
新ポリシーの意図 (スコア:0)
> ただし、いずれの場合もパッチ提供開始時点でバグの詳細やPoCが公開されてしまうため、パッチが不完全であった場合に引き起こされる問題や、パッチ未導入のユーザーを危険にさらすといった問題があった。
に対して
> そのため、パッチ公開済みかどうかにかかわらず、バグの開示は報告から90日後になる。ただし、猶予期間内に関しては、これまでパッチの公開からしばらくしてバグを開示することになっていたが、新ポリシーでは即時開示となる。また、パッチに不完全な部分が見つかった場合はベンダーに報告し、既存のバグリポートに追記されるが、バグリポートが既に公開されている場合はパッチの問題点もその時点で開示されることになるようだ。
問題の解決としては悪化しているように思えるのだけど
自分が何か読み間違えてるのでしょうか
Re: (スコア:0)
Googleの提供しているサービスにすみやかに乗り換えていただくことで、ユーザーの皆様に安全と安心を提供します
Re: (スコア:0)
Google も Google+ に脆弱性があったことを半年黙ってたことがあったような．
#発表が無ければ知りようがないし，安心ではあるのか．
Re: (スコア:0)
問題の解決としては悪化しているように思えるのだけど
自分が何か読み間違えてるのでしょうか
はい国内キャリアモデルに関してなら
情報公開の如何を問わず今まで通りです
# BLU不可の時点で自己救済すら不能だしー
開発元への対応の後押し (スコア:0)
自体はわかるが、個別それぞれの適用までの間がやばいと思うんだが...
なので開示するにしてもボカす必要ありそうに思うことはある
# でも詳細がわからんと危険度が判別できない、という...