Vorige week werd bekend dat Google een oud en bekend beveiligingslek in haar Android software voor mobiele telefoons had laten zitten. In eerste instantie probeerde de zoekgigant het effect van de kwetsbaarheid te bagatelliseren, maar daarna opende het de aanval op de onderzoeker die het lek ontdekte. Charlie Miller had volgens Google een ongeschreven regel overtreden. Google doelt hierbij op "responsible disclosure", het op verantwoorde wijze melden van lekken. "Het mes snijdt echter aan twee kanten", zegt onderzoeker Chris Soghoian.

"Als Google wil dat onderzoekers het bedrijf eerste inlichten over beveiligingslekken, dan is het eerlijk dat Google het publiek inlicht zodra een lek gepatcht is. Google's aanpak in deze is er eentje van complete geheimhouding, waarbij het lekken niet erkent en al helemaal geen gebruikers waarschuwt dat een lek bestaat of is verholpen." De zoekgigant liet vorig jaar weten dat haar gebruikers niet technisch genoeg zijn om security bulletins te begrijpen en de meldingen alleen maar "afleidend" en "verwarrend" vinden. Verder zijn de aanpassingen die Google doorvoert onzichtbaar voor haar gebruikers, waardoor het geen reden ziet om mensen te waarschuwen.

Volgens Soghoian kunnen bedrijven "responsible disclosure" alleen verwachten als ze ook iets met de informatie doen. Gewaarschuwde bedrijven die de meldingen links laten liggen, zullen de volgende keer geen waarschuwing meer ontvangen. Daarnaast verwachten onderzoekers voor het melden van problemen bedankt te worden. Op dit gebied presteert Google belabberd. Het bedankt onderzoekers vaak niet voor het melden van lekken en in sommige gevallen laat het beveiligingslekken lange tijd zitten. Het eindresultaat is dat veel onderzoekers daarom voor "full-disclosure" kiezen, aangezien ze bij Google tegen een muur aanlopen. Soghoian heeft dit zelf ook eens meegemaakt, toen hij de zoekgigant waarschuwde, maar die hem volledig negeerde.

Android
Nemen we het lek in Google onder de loep, dan wordt de situatie voor Google nog slechter, zo laat Soghoian weten. Android bestaat uit 80 opensource libraries en programma's en de kwetsbaarheid was al enige tijd bekend en gepatcht. In het geval van Google was Android kwetsbaar omdat het bedrijf oude software verscheepte waarvan men wist dat die lek was. De zoekgigant beschuldigde Miller ervan de details meteen openbaar te hebben gemaakt, maar ook dat is niet het geval. Al op 20 oktober had de onderzoeker Google ingelicht. Daarnaast zijn de exacte details nog altijd niet bekend en is er ook geen proof-of-concept exploit verschenen. De aanpak van Miller is dus zeker niet als full-disclosure te omschrijven.

"Als Google Miller al kan bekritiseren, dan is dat niet voor het niet waarschuwen, maar mogelijk vanwege de beperkte informatie. Gegeven het feit dat Google bekend lekke software naar honderdduizenden gebruikers stuurt, en gepatchte versies van de software alle enige tijde beschikbaar waren, is het lastig om sympathie voor Google te voelen."

Verder geeft Soghoian Miller nog een pluim, in het verleden had de beveiligingsonderzoeker informatie over een lek in de Linux kernel voor 50.000 dollar aan de National Security Agency gekocht, dat daarmee buitenlandse netwerken zou hebben gehackt. "We moeten blij zijn dat hij in ieder geval het bestaan van het lek publiek heeft gemaakt. Op deze manier hebben ontwikkelaars tenminste een kans om het te vinden en verhelpen."