Het onthullen van een ernstig beveiligingslek in Windows XP door Google-werknemer Travis Ormandy was gewoon stom, dat zegt beveiligingsexpert Tyler Reguly. Reguly is een collega van Andrew Storms, die er vorige week flink van langs kreeg wegens zijn kritiek op Ormandy. Brad Spengler schreef een waar epistel waarom de openbaarmaking van de zero-day kwetsbaarheid in het Windows Help en Support Center wel een goed idee was.

Ormandy zou door Microsoft namelijk gedwongen zijn. De softwaregigant wilde het door de onderzoeker gemelde beveiligingslek niet binnen zestig dagen patchen, waarop Ormandy tot Full-disclosure (FD) overging. "Dit is geen FD", aldus Reguly. FD zou namelijk bedoeld zijn om bedrijven die weigeren beveiligingslekken op te lossen hiertoe te dwingen. "Het draait niet om aandacht voor jezelf." Het openbaren van de kwetsbaarheid vijf dagen na het waarschuwen van Microsoft, is volgens Reguly geen FD. "Het wordt FD genoemd, maar het is het niet."

Stom
De expert noemt het onthullen van de zero-day kwetsbaarheid een stom iets om te doen. "Er is geen ruimte voor extra discussie, het is klip en klaar." Als Microsoft het lek niet na een maand had bevestigd of het niet had willen patchen was het wel oké geweest. "Maar dat is niet wat er gebeurde." Volgens Reguly hebben zowel Ormandy als Sprengler iedereen een stap teruggezet.

"De acties van Tavis duiden erop dat hij vindt dat Full-disclosure en Responsible Disclosure los van elkaar staan, terwijl Brad zich tot een persoonlijke aanval wendde." Reguly merkt op dat tot de security-gemeenschap accepteert dat het op verantwoorde wijze melden van lekken ook binnen Full-disclosure kan bestaan, er discussies zullen blijven. "Ik ben het zat om ze te lezen en hoop dat mensen beseffen dat als ze op iets Full-disclosure plakken, ze nog steeds verantwoordelijk zijn."

Microsoft
Niet iedereen is het met Reguly eens, zoals Ray Marsh. De onderzoeker ziet in het hele incident juist een teken dat het geen goed idee is om contact met Microsoft op te nemen, tenzij onderzoekers het lek overhandigen en hun mond houden. "Als je probeert te onderhandelen met het MSRC en geen overeenkomst bereikt, dan gaan ze zover als het aanpakken van je werkgever via de pers", zo merkt Marsh op.

Wie ernstige Microsoft-lekken vindt, heeft daardoor een aantal opties. Een onderzoeker kan niets doen, waardoor Microsoft-klanten kwetsbaar blijven. Het als zero-day kwetsbaarheid publiceren, het verkopen via een derde partij, het verkopen aan partijen met onbekende motieven of het melden en onderaan een Security Bulletin worden bedankt. "Ik zeg niet dat dit de juiste conclusie is gebaseerd op wat er achter de schermen plaatsvindt. Maar de perceptie van de ontdekken van het volgende ernstige Microsoft-lek wordt nu door wel zichtbare zaken gevormd. Misschien heeft Microsoft nog steeds een kans om deze perceptie te wijzigen?"