安全研究員凱文·博蒙特(Kevin Beaumont)在社交媒體上翻看一則漏洞公開事件的后續時,微軟的反應方式引起了他的警覺。一名自稱“夢魘日食”(Nightmare Eclipse)的用戶連續發布漏洞概念驗證代碼,與微軟公司公開對峙,部分帖子暗示此人可能是一名心懷不滿的前雇員。微軟隨后發出了不同尋常的信號:公司有意對這名披露者提起刑事訴訟,理由是未遵循“恰當協調”流程。
微軟在回應中表示,正考慮以刑事案件處理 Nightmare Eclipse 未遵守漏洞協調披露的行為,并已同時封禁了該用戶在 GitHub、GitLab 以及微軟安全響應中心(MSRC)的賬戶。博蒙特對此評論稱:“當你已經被禁止訪問所有報告渠道后,就很難‘負責任地’報告未來的漏洞了。”這句直白的質疑點出了操作中的悖論:一邊要求外部研究者遵守規則,一邊又切斷了對方合規提交問題的路徑。
![]()
更讓博蒙特感到困惑的是微軟在用人及漏洞交易上的歷史。據他觀察,微軟曾雇傭過那些公開披露零日漏洞的研究人員,其中一些人的履歷上還留有犯罪行為相關的黑客定罪記錄。此外,微軟自身也從漏洞經紀人手中購買過漏洞利用代碼。這種先例意味著,當公司試圖將“未遵循通常任意的負責任披露框架”的行為定為犯罪時,它自己的過往決策將成為法庭上難以辯護的軟肋。
博蒙特在其分析中這樣總結:“如果微軟的策略是試圖將不遵循所謂‘負責任披露’框架這一行為刑事化,那祝你們在法庭上好運——因為在訴訟過程中,微軟內部一連串先前的決策以及相關事實將不可避免地浮現出來,形成一整車的小丑秀。”他用“一整車的小丑”(clown car)形容那些可能被曝光的不一致做法,暗示這些材料會讓微軟的刑事追訴立場變得極為尷尬。
這起沖突折射出安全社區長期存在的爭議:漏洞披露的“恰當協調”究竟該由誰來定義?大型廠商往往將未提前私下通知而公開漏洞視為不負責任,但研究人員則抱怨廠商響應遲緩、獎勵不公,甚至動輒用法律威脅壓制。當廠商自身又兼有購買漏洞、雇傭前黑帽的行為時,所謂“負責任披露”的邊界就變得更加模糊。微軟此番強硬手段可能引發的法律博弈,也許將迫使業界重新審視披露規范的公共屬性,而非任由廠商單方面劃定紅線。
特別聲明:以上內容(如有圖片或視頻亦包括在內)為自媒體平臺“網易號”用戶上傳并發布,本平臺僅提供信息存儲服務。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.