คิดถึงข่าวนี้เลย
เส้นใหญ่ Project Zero เลื่อนการเปิดเผยช่องโหว่บน OS X ไปหนึ่งเดือนหลังผู้บริหารขอร้องโดยตรง

แล้วท่านทำไมไม่ติดต่อ Google แบบที่ Apple ทำหล่ะ

คนนอกเผย กูเกิลเผย น่าจะต่างกันมากครับ

ลำตะแคง

เห็นด้วยกับทั้งสองฝ่าย แต่โน้มเอียงไปทาง MS
ถึงจะมีการโจมตีแล้ว แต่การเปิดเผยช่องโหว่แล้วจะปลอดภัยมากขึ้นจริงเหรอ
จากการโจมตีกลุ่มน้อยๆ กลายเป็นเพิ่มปริมาณการโจมตีจากกลุ่มคนทั่วไป
มันน่าจะยืดหยุ่นกฏมากกว่านี้ ถ้าคนที่ถูกโจมตีไม่กระตือรือร้นก็ว่าไปอย่างนะ

ไมโครซอฟ รอบก่อนมีการเจรจากูเกิลไม่ยอมยังพอเข้าใจ รอบนี้เงียบ ช่วยไม่ได้

worst case ด้วยส่วนแบ่งตลาดที่มากกว่า mac เยอะมาก ดังนั้นมีโอกาสสูงกว่ามากที่จะโดนโจมตี

รอกันไปอีก 6วันครับ

คิดว่ากลุ่มบริษัทพวกนี้ควรทำให้มันชัดเจนคือ "ช่องโหว่ที่พบการโจมตีแล้ว" และ "ช่องโหว่ที่ยังไม่พบการโจมตี" ควรจะมีมาตราการที่แตกต่างกันอย่างไร อันไหนเลื่อนได้ อันไหนไม่ควรเลื่อน ไม่งั้นลูกค้าก็ถูกทำเป็นเหมือนหมากตัวหนึ่งในเกมบ้าบอนี้ไปเสียมากกว่า (ในฐานะลูกค้า มันไม่ตลก)

โอเค ถ้าบอกว่า ช่องโหว่ที่เกิดขึ้นใน macOS มีกลุ่มคนที่ได้รับผลกระทบน้อยกว่า และยังไม่พบการโจมตี ซึ่งก็ไม่รู้จริงไหม ก็แค่ไม่มีรายงาน เทียบกับ Windows ในอัตรา 1:10 หรือ 1:20 ที่พบการโจมตีแล้ว หากปัจจัยในการเผยแพร่มีการใช้ตัวแปรข้างต้น บวกกับสัดส่วนของส่วนแบ่งทางการตลาดของ OS ไปด้วยในการประเมิณระยะเวลาในการเปิดเผยความเสี่ยงให้สั้นลง ก็น่าจะออกมาเป็นสูตรสำเร็จ เพื่อช่วยในการประเมิณความเสี่ยงและช่วยเร่งให้บริษัทที่ถูกแจ้งได้รับทราบและตั้งมาตราการภายในให้มันสอดรับกันทั้งกระบวนการ

คือจะ 90 วัน 60 วัน 14 วัน 7 วัน อะไรก็ว่าไป ให้มันตรงไปตรงมา ไม่ใช่อยากจะใช้ตัวเลขไหนก็ทำไปเป็นเคสๆ ถ้าแบบนั้นก็แจ้งให้มันรู้ๆ กันไปว่า เออ ต่อไปจะไม่มีมาตราฐานนะ เดี่ยวแจ้งเป็นลำดับความสำคัญเอา แล้วก็ลุ้นว่าจะเผยแพร่วันไหนอีกที

เผื่อในอนาคตมีช่องโหว่ร้ายแรงกว่านี้มาเคสเดียวกันแบบนี้ แต่ 3 วันเผยแพร่เลย จะได้ทำตัวถูก

MS เร่งหาทีมเจาะแอนดรอยส์กะ Chrome OS ด่วนเลย .. เอาคืน -..-'

มีประเด็นหนึ่งคือการจัดความสำคัญของช่องโหว่ไม่เท่ากันนัก Microsoft มักมองว่าช่องโหว่รันโค้ดจากระยะไกล (RCE) เป็นช่องโหว่ร้ายแรงสุด (critical) และมักออกแพตช์นอกรอบให้หากพบการโจมตีแล้ว กรณีแบบนั้นต่อให้เป็น 7 วันไมโครซอฟท์เองก็น่าจะจัดการปัญหาได้

แต่กรณีนี้เป็นการยกสิทธิ์ของ process บนเครื่องซึ่งไมโครซอฟต์มักจัดอยู่ระดับ "สำคัญ" เลยไม่พอที่จะออกแพตช์นอกรอบ

ในภาพรวมก็เข้าใจไมโครซอฟท์ได้ ถ้าต้องออกแพตช์นอกรอบให้กับทุกแพตช์สำคัญ ก็คงไม่ต้องมีรอบกันเลย ฝ่ายไอทีลูกค้า (ที่จริงจังเรื่องความปลอดภัย ไม่ใช่เซ็ตอัพแล้วทิ้งไว้แบบนั้น) จัดการรอบกันไม่ได้แน่ๆ

ทำการบ้านไม่ทันครูจะตีมั๊ย

กูเกิล...ไมโครซอฟท์ น่าจะพูดกันให้เคลียร์ เพราะอันตรายทั้งไม่บอกหรือบอกแล้ว..ด้วยแต่ละค่าย ก็มีวิธีการของตน ในด้านตื้นและลึก

MS ไม่ฉลาดเลย วันหลังก็ขอให้ Apple เจรจาให้แทนสิ อิอิ

คือเรื่องนี้มันเกี่ยวข้องกับ 2 บริษัท ฯ คือ Adobe และ MS ทีนี้ปัญหาจริง ๆ ของช่องโหว่นี้มาจากอะไร เราต้องค่อย ๆ ไล่ลำดับกัน

เท่าที่อ่านคือ ใช้ช่องว่าของ Flash เพื่อเข้าถึงโพรเซสของเบราว์เซอร์ก่อน แล้วใช้ช่องโหว่ของ Windows ยกระดับการเข้าถึงจากเบราว์เซอร์มายังเคอร์เนลอีกที

ซึ่งถ้า Adobe ออกแพตช์อุดช่องโหว่เริ่มต้นไปแล้วตามข่าว ช่องโหว่ระดับเคอร์แนลของ Windows แม้จะยังอยู่ แต่ช่องทางในการเจาะระบบเริ่มต้นหายไปก็เท่ากับ ความปลอดภัยในตัว Windows คืนกลับมาในระดับหนึ่งแล้ว ซึ่งสามารถใช้เวลาในการปิดช่องโหว่ (ซึ่งไม่มีช่องทางเริ่มต้นจากปัญหาการโจมตีแล้ว) ได้ในระดับหนึ่ง

แต่การที่กูเกิ้ล รีบร้อนออกมาแจ้งช่องโหว่นี้ในช่วงระยะเวลาในการทำแพตช์นี้ มันสามารถมองได้ว่าเป็นการดิสเครดิตตัว Windows ของ MS มากกว่าทำเพื่อแจ้งเตือนระดับความปลอดภัย เพราะช่องทางเริ่มต้นในการเจาะระบบโดนปิดไปแล้วในระดับหนึ่ง เมื่อเทียบกับข่าวของแอปเปิ้ลแล้ว ยิ่งทำให้เป็นความไร้มาตรฐานแบบชัดเจนในการวินิจฉัยเรื่องการแก้ไขปัญหา

เรื่องนี้ MS พูดถูก และว่า MS แทบไม่ได้เลยเรื่องไม่รีบปรับปรุง ถ้ามองปัญหาตามลำดับความสำคัญจริง ๆ

slow life จิมๆ

Microsoft ก็ตั้งโปรเจ็คเจาะกูเกิลเอาคืนบ้างสี ตั้งทีมงานแฮกเกอร์สัก 300 คน เล่นงานแอนดรอยด์กับกูเกิลเสริชโดยเฉพาะ
เจาะได้ให้เวลาแก้ 24 ชม. :D