on
Project Zero ของกูเกิลมีนโยบายการเปิดเผยช่องโหว่ที่ค่อนข้างแข็งกร้าว คือกำหนดเวลาหลังติดต่อผู้ผลิต 90 วันและไม่มีการยืดเวลาให้อีก แต่ช่องโหว่ task_t ของ iOS และ OS X กลับได้รับสิทธิพิเศษเมื่อผู้บริหารของทั้งแอปเปิลและกูเกิลคุยกันโดยตรง
กูเกิลรายงานช่องโหว่การเข้าถึงสิทธิ์ root ของระบบผ่าน task_t ที่อิมพลีเมนต์ผิดพลาด โดยรายงานเมื่อกลางปีที่ผ่านมา เมื่อแจ้งทางแอปเปิลแล้ว ทางแอปเปิลก็แจ้งขอให้เลื่อนระยะเวลาประกาศช่องโหว่ออกไปอีก 60 วันทันที แต่ทาง Project Zero ปฎิเสธ
แอปเปิลปล่อยแพตช์สำหรับ iOS เมื่อเดือนกันยายนที่ผ่านมา แต่แพตช์แก้ไขไม่ครอบคลุมทั้งหมด โดยแอปเปิลระบุว่าเป็นการแก้ปัญหาระยะสั้น และขอให้ Project Zero เปิดเผยข้อมูลเฉพาะที่แพตช์แก้ไปแล้วเท่านั้น แต่ Project Zero ปฎิเสธเช่นเดิม (แพตช์ออกหลังครบ 90 วันไปแล้ว 11 วัน ซึ่งนโยบายของ Project Zero ยอมเลื่อนเวลาเปิดเผยให้อีก 14 วันในกรณีที่แพตช์กำลังออก)
เรื่องขึ้นไปถึงระดับผู้บริหาร เมื่อวันที่ 18 กันยายนที่ผ่านมา ผู้บริหารระดับสูงของแอปเปิลติดต่อไปยังผู้บริหารของกูเกิลโดยตรง ทำให้ Project Zero ยอมเลื่อนการเปิดเผยช่องโหว่ออกไป 5 สัปดาห์จนกระทั่งแอปเปิลปล่อย MacOS 10.12.1 เมื่อวานนี้
Ben Hawkes จาก Project Zero เปิดเผย timeline ของการเจรจาระหว่างสองบริษัท แสดงให้เห็นว่าแอปเปิลพยายามอย่างหนักที่จะเลื่อนการเปิดเผยช่องโหว่ออกไป โดยมีทั้งการประชุมร่วมกับทีมงาน Project Zero โดยตรง จนกระทั่งการติดต่อผ่านผู้บริหาร
ที่มา - Project Zero
แก้ไม่ทันจริงๆ หรือกลัวรูป
Bluetus Wed, 26/10/2016 - 09:18
แก้ไม่ทันจริงๆ หรือกลัวรูป Macbook Pro ในอีกข่าวหลุด 5555
ตอนแรกละแข็งจริงไมโครซอฟท์ขอล
Hadakung Wed, 26/10/2016 - 09:27
ตอนแรกละแข็งจริงไมโครซอฟท์ขอละไม่ให้ เดี๋ยวนี้อ่อนปวกเปียกเลย:P
ทั้ง 2
Be1con Wed, 26/10/2016 - 09:36
In reply to ตอนแรกละแข็งจริงไมโครซอฟท์ขอล by Hadakung
ทั้ง 2 บริษัทเคยเป็นคู่ขามหาสนุกครับ เลยไม่แปลกใจเท่าไร
น่าจะมีการฟ้องร้องได้เนอะ
maoIndie Wed, 26/10/2016 - 09:32
น่าจะมีการฟ้องร้องได้เนอะ การเปิดเผยช่องโหว่มันสร้างความเสียหายให้ผู้ใช้งานจำนวนมากได้
การเปิดเผยจะทำต่อเมื่อแจ้งทาง
atomiccubez Wed, 26/10/2016 - 09:37
In reply to น่าจะมีการฟ้องร้องได้เนอะ by maoIndie
การเปิดเผยจะทำต่อเมื่อแจ้งทาง apple ไปแล้ว90วัน หมายความว่า apple มีเวลาแก้ไขช่องโหว่นี้90วัน (เป็นการบังคับเพื่อให้ออกแพทซ์) ผมมองว่าไม่ได้ละเมิดผู้ใช้ยังไงนะครับ
แต่การไม่ปิดก็น่าจะร้ายแรงกว่
ageorge21 Wed, 26/10/2016 - 09:55
In reply to น่าจะมีการฟ้องร้องได้เนอะ by maoIndie
แต่การไม่ปิดก็น่าจะร้ายแรงกว่าน่ะ เจอแล้วแจ้งให้ปิดน่าจะดีกับคนใช้แล้วก็เจ้าของผลิตภัณฑ์ด้วย ปลอดภัยทั้งคู่
แค่ Project Zero
EThaiZone Wed, 26/10/2016 - 10:27
In reply to น่าจะมีการฟ้องร้องได้เนอะ by maoIndie
แค่ Project Zero ไม่เปิดเผยก็ไม่ได้หมายความว่าคนอื่นจะไม่รู้นะครับ การบังคับแบบนี้ช่วยให้ patch ออกมาไวขึ้นด้วยซ้ำ ส่วนเวลา 90 วันนี้มันนานเกินพอเลย
ผมมองว่า ถ้าตัวคนแก้
iamfalan Wed, 26/10/2016 - 09:33
ผมมองว่า ถ้าตัวคนแก้ เขามีความพยายามจะแก้ไขจริงๆ ก็น่าจะเลื่อนได้นะครับ
มาตรการที่แข็งกร้าวนี้ จริงๆ มีขึ้นก็เพื่อกดดันให้ทางเจ้าของ ทำการ patch ให้เร็วที่สุด
แต่ในเมื่อของมันทำยังไม่เสร็จจริงๆ แล้วจะดึงดันประกาศออกไป ผมว่าก็ไม่ได้เป็นผลดีอะไรนะ
ข้อดีที่เห็นคือ ระดับผู้บริหารมาคุยเอง มันก็แสดงให้เห็นถึงความใส่ใจในช่องโหว่นี้จริงๆ
ผมมองว่า ถ้าตัวคนแก้
hisoft Wed, 26/10/2016 - 10:26
In reply to ผมมองว่า ถ้าตัวคนแก้ by iamfalan
อาจจะเป็นการปรับตัวจากที่เคยมีกรณี Microsoft ไม่พอใจที่ Google เปิดเผยช่องโหว่ของ Windows ทั้งที่กำลังจะออกแพตช์มาแก้ ก็ได้ครับ ซึ่งตอนนั้นยังไม่มีการปรับเลื่อน 14 วันตามนโยบายในข่าวที่ว่า
ซึ่งนโยบายของ Project Zero ยอมเลื่อนเวลาเปิดเผยให้อีก 14 วันในกรณีที่แพตช์กำลังออกด้วยครับ เก้าสิบวันปุ๊บปล่อยเลยทั้งที่อีกสามวันแพตช์ออกหาก project zero
devilblaze Wed, 26/10/2016 - 22:57
In reply to ผมมองว่า ถ้าตัวคนแก้ by hisoft
หาก project zero กลับมาใช้นโยบายแข็งกร้าวอีกครั้ง ก็ฟันธงได้เลยว่ามีซัมติงกับพี่แอป ซินะ
3กรณี..1.แก้ไม่ทัน..2.ไม่แก้.
delta Wed, 26/10/2016 - 09:56
3กรณี..1.แก้ไม่ทัน..2.ไม่แก้..3.เชื่อมั่นตนเกินไป
หรืออีกกรณีคือเลื่อนเพราะไม่อ
thsecmaniac Wed, 26/10/2016 - 10:26
In reply to 3กรณี..1.แก้ไม่ทัน..2.ไม่แก้. by delta
หรืออีกกรณีคือเลื่อนเพราะไม่อยากเสียหน้าที่สาวกช่วยพูดว่า ใช้ Mac OS X แล้วจะไม่โดนไวร้ส หรือเปล่า? เพราะเดี๋ยวนี้ก็ยังมีคนเชื่ออยู่
เป็นเหตุผลที่ไร้สาระเกินไปหรื
nrml Wed, 26/10/2016 - 16:52
In reply to หรืออีกกรณีคือเลื่อนเพราะไม่อ by thsecmaniac
เป็นเหตุผลที่ไร้สาระเกินไปหรือเปล่าครับ เรื่อง security กับเรื่องไม่อยากเสียหน้านี่ระดับความเสียหายและผลกระทบมันแตกต่างกันเยอะเกินไปครับ
ใช่ครับ ดู Note 7
thanyadol Wed, 26/10/2016 - 17:53
In reply to เป็นเหตุผลที่ไร้สาระเกินไปหรื by nrml
ใช่ครับ ดู Note 7 เป็นตัวอย่างสิ ฮาาา
มันก็ยังมีคนเชื่ออยู่นะครับ
thsecmaniac Thu, 27/10/2016 - 13:24
In reply to เป็นเหตุผลที่ไร้สาระเกินไปหรื by nrml
มันก็ยังมีคนเชื่ออยู่นะครับ แล้วเอามาทับถมยี่ห้ออื่น ในเฟสนี่เต็ม
ถ้าเป็นเมื่อสัก 6-7
nrml Thu, 27/10/2016 - 13:54
In reply to มันก็ยังมีคนเชื่ออยู่นะครับ by thsecmaniac
ถ้าเป็นเมื่อสัก 6-7 ปีที่แล้วนี่ผมยังเจออยู่บ้างนะครับ แต่ถ้าบอกว่าเต็มเฟซตอนนี้ผมแทบไม่เจอคนที่พูดแบบนี้แล้ว
ผมมองอีกรูปแบบนึง
grenadin Wed, 26/10/2016 - 11:14
ผมมองอีกรูปแบบนึง คือความเชื่อมั่นใน Project Zero ถูกลดทอนลง
ไม่ก็ต่อรองอะไรสักอย่างแล้ว
put4558350 Wed, 26/10/2016 - 12:55
In reply to ผมมองอีกรูปแบบนึง by grenadin
ไม่ก็ต่อรองอะไรสักอย่างแล้ว apple ยอม
บริษัทกูเกิล ขู่ Apple
thanyadol Wed, 26/10/2016 - 13:12
บริษัทกูเกิล ขู่ Apple ที่ไม่ยอมทำตาม ฮ่าๆ
ทีของ Microsoft
Ford AntiTrust Wed, 26/10/2016 - 13:14
ทีของ Microsoft กระทบคนเยอะมาก พวกไม่เลื่อน ทีแบบนี้หล่ะเลื่อนให้
2 มาตรฐานชัดๆ
มองอีกทางหนึ่ง Microsoft
put4558350 Wed, 26/10/2016 - 17:52
In reply to ทีของ Microsoft by Ford AntiTrust
มองอีกทางหนึ่ง Microsoft ไม่อุด ถ้ายอมเลื่อนให้จะกระทบคนเยอะมาก ...
จากเนื้อหาข่าวเก่าและแหล่งข่า
Ford AntiTrust Wed, 26/10/2016 - 18:37
In reply to มองอีกทางหนึ่ง Microsoft by put4558350
จากเนื้อหาข่าวเก่าและแหล่งข่าวนั้น ไม่ใช่ไม่อุดนิครับ แต่อยู่ใน patch รอบต่อไปแล้ว ซึ่งจะออกในอีกไม่กี่วัน แต่ Google ไม่ยอม ปล่อยช่องโหว่ออกมาก่อน
กรณีของ ms
devilblaze Wed, 26/10/2016 - 18:50
In reply to ทีของ Microsoft by Ford AntiTrust
กรณีของ ms เหมือนรอรอบหรือยึดติดกับรอบอัพเดทประจำเดือนหรือเปล่า คือแพทแก้เสร็จแล้ว แต่อีกไม่กี่วันจะถึงเวลามัดแพทรวมอัพเดททีเดียว ก็เลยจะไปปล่อยวันนั้นทีเดียว ซึ่งหากแพทมันสำคัญก็สั่งอัพล่วงหน้าทันทีก็ย่อมได้
รอบอัพเดทมีเป็น pattern
Ford AntiTrust Wed, 26/10/2016 - 19:34
In reply to กรณีของ ms by devilblaze
รอบอัพเดทมีเป็น pattern ปรกติอยู่แล้ว รู้กันทั้งวงการ ส่วนของ Apple ไม่มี เสร็จแล้วค่อยปล่อย ของ Apple หนักกว่าคือทำไม่เสร็จแล้วขอเลื่อน
ปฏิเสธการเลือนเหมือนกัน
PandaBaka Wed, 26/10/2016 - 19:01
In reply to ทีของ Microsoft by Ford AntiTrust
ปฏิเสธการเลื่อนเหมือนกันคงมาตรฐานเดียวกันล่ะ แต่ต่างตรง A ผู้บริหารตามจิกต่อ M ปล่อยผ่าน
ตามจิกไม่จิกไม่เกี่ยวนิครับ
Ford AntiTrust Wed, 26/10/2016 - 19:33
In reply to ปฏิเสธการเลือนเหมือนกัน by PandaBaka
ตามจิกไม่จิกไม่เกี่ยวนิครับ เรากำลังถามหามาตราฐานเดียวกันในการดำเนินงาน
ทำอย่างนั้นก็ไม่ใช่มาตรฐานเดี
Hadakung Wed, 26/10/2016 - 19:35
In reply to ปฏิเสธการเลือนเหมือนกัน by PandaBaka
ทำอย่างนั้นก็ไม่ใช่มาตรฐานเดียวกันอยู่ดีครับ สมมติว่าคุณเป็นบริษัทซอฟท์ที่ไม่ได้สนิทสนมขนาดคุยกับผู้บริหารกูเกิลได้ คุณจะทำอย่างไรครับ?!?
มองแบบกลางๆ นะ
ipats Wed, 26/10/2016 - 23:02
In reply to ทีของ Microsoft by Ford AntiTrust
มองแบบกลางๆ นะ
คงต้องรอดูรอบต่อๆ
Ford AntiTrust Wed, 26/10/2016 - 23:42
In reply to มองแบบกลางๆ นะ by ipats
คงต้องรอดูรอบต่อๆ ไปว่าจะผ่อนปรนได้แค่ไหน และได้การผ่อนปรนบนมาตราฐานเดียวกันหรือเปล่าด้วยแหละ
ผมก็มองแบบนั้นนะครับ
Be1con Thu, 27/10/2016 - 00:27
In reply to มองแบบกลางๆ นะ by ipats
ผมก็มองแบบนั้นนะครับ โดยเฉพาะสายสัมพันธ์ในอดีตที่เหนียวแน่นอย่างมาก
ติ่ง microsoft แด๊นซ์กันใหญ่
carrot Wed, 26/10/2016 - 16:17
ติ่ง microsoft แด๊นซ์กันใหญ่
ถ้าผู้บริหาร google ไม่สั่ง ไฉนเลยพนักงานจะเลื่อนเองได้
แทนที่จะว่าไม่เท่าเทียม เคยคิดไหมว่า ms มันเทอะทะซะจนทำแบบนี้ไม่ได้
แล้วลองคิดถึงตัวเองกันบ้างว่า หัวหน้าของพวกคุณน่ะ ลงมาออกหน้า ปกป้อง ดูแล ลุยงาน ตอบสนองข้องเรียกร้องของพวกคุณแค่ไหนกัน
ผมว่าปัญหามันอยู่ที่ความเป็นก
osmiumwo1f Wed, 26/10/2016 - 17:17
In reply to ติ่ง microsoft แด๊นซ์กันใหญ่ by carrot
ผมว่าปัญหามันอยู่ที่ความเป็นกลางของ Project Zero มากกว่าที่ MS ถูกปฏิเสธคำขอเลื่อนเวลา แต่ Apple กลับขอเลื่อนได้ และต่อให้อ้างว่าตอน MS นั้นไม่มีกฎเลื่อนได้อีก 14 วันหากแพตช์กำลังจะออก แต่หลังจากครบ 104 วันไปแล้ว Project Zero กลับไม่เปิดเผยช่องโหว่ที่ว่าเพราะผู้บริหารขอมา ซึ่งแสดงให้เห็นว่า Project Zero ไม่ได้ทำตามกฎที่ตัวเองเป็นคนตั้งเองกับทุกคนครับ
เคยมีคนสนับสนุน Google
Ford AntiTrust Wed, 26/10/2016 - 17:22
In reply to ติ่ง microsoft แด๊นซ์กันใหญ่ by carrot
เคยมีคนสนับสนุน Google ว่าการกระทำดังกล่าวในการออกช่องโหว่ตามเวลาปรกติ 90 วัน ว่า "มันเป็นระบบอัตโนมัติพอถึงเวลาก็ปล่อยตามที่ตั้งไว้" แต่จากกรณีนี้ ทำให้สรุปได้ว่า ไม่ใช่ตามนั้น แต่เป็นนโยบายบริหารที่คงมีการเปลี่ยนแปลงไปตามยุคสมัย แน่นอนว่าทำแบบนี้ ทำให้ลดความน่าเชื่อถือของโครงการลงในความเป็นกลาง เพราะที่มีกรณีกับ Microsoft ก็มีการประสานงานเลื่อนออกช่องโหว่เพื่อเป็นไปตามรอบ Patch ของบริษัท ซึ่งมีรอบชัดเจนอยู่แล้ว (อ้างอิง) หากไม่รักษามาตรฐานไว้ก็เละอย่างที่เห็น เพราะตัวเองเป็นคนร่างกฎเอง แต่ตัวเองก็ทำลายกฎนั้นเสียเอง
สรุป คนใช้ OS X ก็โชคดีไป ส่วนคนใช้ Windows ก็ซวยไป ก็แค่นั้นเอง
ก็จบลงด้วยดี คนใช้ไม่สนใจหรอก
john dick Wed, 26/10/2016 - 16:17
ก็จบลงด้วยดี คนใช้ไม่สนใจหรอก
แบบนี้ก็ไม่มีความเป็นมาตรฐานเ
Aize Wed, 26/10/2016 - 16:48
แบบนี้ก็ไม่มีความเป็นมาตรฐานเอาเสียเลย ....
ทำไม treat Project Zero
hail_to_the_thief Wed, 26/10/2016 - 18:20
ทำไม treat Project Zero ซะหยั่งกะเป็นมูลนิธิ เค้าก็มีสิทธิ์ตัดสินใจเพื่อผลประโยชน์ของเค้า
ผมไม่ได้ praise Googler เท่าไหร่นะ (ประสบการณ์ตรง) แต่คิดว่าเค้าก็คงมี justification ที่ดีพอ ที่จะเลื่อนแหละ
ครับ
Mars2005 Wed, 26/10/2016 - 19:13
In reply to ทำไม treat Project Zero by hail_to_the_thief
ครับ คงมีผลประโยชน์ที่ได้รับมากพอที่จะทำให้เลื่อนออกไปได้
ก็แค่ 2 บริษัท ฯ มอง MS
Mars2005 Wed, 26/10/2016 - 19:15
ก็แค่ 2 บริษัท ฯ มอง MS เป็นคู่แข่งหลักที่พร้อมจะทำทุกอย่างทุกวิถีทางให้ MS อยู่ลำบากก็แค่นั้นแหละ แต่ส่วนของตัวเองก็หยวน ๆ กันไป
ตรงมาก
nisit Wed, 26/10/2016 - 21:16
In reply to ก็แค่ 2 บริษัท ฯ มอง MS by Mars2005
ตรงมาก
น่าเกลียดมากครับ
Thaitop_BN Wed, 26/10/2016 - 21:24
น่าเกลียดมากครับ จะบังคับหรือจะหยวนๆ ก็เลือกเอาซักทาง เลือกปฏิบัติแบบนี้จะน่าเชื่อถือได้ยังไงว่า คนที่ถูกบังคับวันไม่ใช่การกลั่นแกล้งกันทางธุรกิจ
นายสั่งมา
psemanssc Thu, 27/10/2016 - 00:05
นายสั่งมา
คิดจะขู่แอปเปิ้ล ฝันไปเถอะ
isk Thu, 27/10/2016 - 00:54
คิดจะขู่แอปเปิ้ล ฝันไปเถอะ
ใหญ่มานานไม่มีวันล้ม
Know who > know how อยู่แล้ว
hydrojen Thu, 27/10/2016 - 12:16
Know who > know how
อยู่แล้ว