प्रकाशन कमजोरियाँ मिलीं: पेशेवरों और विपक्ष

इस विषय को उठाने का विचार सॉफ्टवेयर के जाने-माने कार्यालय-निर्माताओं में से एक के प्रतिनिधियों के बयान से प्रेरित था। यह कौन है - मौन।



लब्बोलुआब यह है: इस प्रतिनिधि की राय में, लोकप्रिय सॉफ्टवेयर उत्पादों में पाई जाने वाली कमजोरियों के बारे में जानकारी प्रकाशित करना बुराई है, क्योंकि अगर भेद्यता वास्तव में महत्वपूर्ण है, तो इससे निर्माता को ठीक करने की तुलना में हमलावरों के लिए इसका लाभ उठाने की अधिक संभावना होगी। इस दृष्टिकोण से, एक निश्चित उत्साह, जो एक भेद्यता पाया गया है, सॉफ्टवेयर निर्माता को इस बारे में सूचित करने और शांति से इस त्रुटि के ठीक होने की प्रतीक्षा करने के लिए बाध्य है। जब ऐसा होता है - कोई नहीं जानता है, तो यह डेवलपर की "व्यस्तता" पर निर्भर करता है।



मुझे नहीं पता कि हर कोई कैसे सोचता है, लेकिन यह मुझे मौलिक रूप से गलत लगता है। प्रतिष्ठित फर्मों में उच्च योग्य सॉफ़्टवेयर डेवलपर्स का एक कर्मचारी है। वे मेनू बार की रंग योजना को विकसित करने में, या मिली त्रुटियों को दूर करने के उद्देश्य से एक नया इंटरफ़ेस (पुराने इंजन के साथ) विकसित करने के उद्देश्य से हो सकते हैं। कार्य कैसे करें - विश्वसनीयता के लिए या नकली विपणन के लिए काम करने के लिए - यह एक विशेष कंपनी की नीति है, और खुले स्रोतों में कमजोरियों के प्रकाशन से इस नीति का पता चलेगा। यदि आपका उत्पाद एक गुलाबी ग्लैमरस शिल्प है जो बग और छिद्रों से भरा है - आप हर दिन एक नया संस्करण जारी कर सकते हैं, लेकिन प्रतियोगी आपको वैसे भी खाएंगे।



और यह हास्यास्पद लगता है कि प्रोग्रामर का एक समूह अपने कोड में एक अकेला हैकर की तुलना में तेजी से भेद्यता को खत्म करने का तरीका नहीं खोज सकता है - एक शोषण लिखें और इसे वितरित करें। आप जल्दी और कुशलता से काम नहीं कर सकते - बाजार से बाहर निकलो।



व्यक्तिगत रूप से, मुझे लगता है कि एक पाया बग के डेवलपर को सूचित करना काफी सामान्य है, जिसके बाद, एक सुस्पष्ट जवाब या सुस्त संकेत की अनुपस्थिति में, "हाँ, हम जानते हैं, हमने इसे नहीं बदला है, क्योंकि यह तीन दिनों में सभी के लिए इसे प्रकाशित करने के लिए यह अबाधित और असंवेदनशील है" ।



मैं टिप्पणियों में विषय पर चर्चा करने का प्रस्ताव करता हूं।