Ifølge netkilder vil Google Project Zero's forskerteam, der arbejder med informationssikkerhed, ændre deres regler for, hvordan oplysninger om opdagede sårbarheder bliver offentlig kendt i år.
I henhold til de nye regler vil oplysninger om fundne sårbarheder ikke blive offentliggjort før 90 dages fristen er udløbet. Uanset hvornår udviklerne løser problemet, vil repræsentanter fra Project Zero ikke offentliggøre information om det. De nye regler vil blive anvendt i løbet af dette år, hvorefter forskerne vil vurdere, om de skal implementeres permanent.
Tidligere har forskere fra Project Zero givet softwareudviklere 90 dage til at rette op på opdagede sårbarheder. Hvis en patch, der løser fejlene, blev udgivet før denne frist, blev oplysningerne om sårbarheden offentliggjort. Forskerne har vurderet, at dette er forkert, da brugerne i mange tilfælde skal skynde sig med at installere opdateringer for ikke at blive offer for kriminelle. En udvikler kan udbedre sårbarheden, men det betyder intet, hvis patchen ikke har fået bred distribution.
Derfor vil information om sårbarheden nu kun blive offentliggjort 90 dage efter, at Project Zero har informeret udvikleren om problemet, uanset om rettelsen udgives efter 20 eller 90 dage. Reglerne har nogle undtagelser. For eksempel, hvis forskerne og udviklerne når til enighed, kan tiden til at løse problemet forlænges med 14 dage. Dette er muligt, hvis softwareudviklerne har brug for mere tid til at udvikle en patch. Den syv dages frist for at udbedre sårbarheder, der allerede udnyttes af kriminelle, forbliver uændret.
Forskere fra Project Zero påpeger, at der siden starten af deres arbejde er blevet udført bedre arbejde med at udbedre opdagede sårbarheder. For eksempel, i 2014, da projektet lige var blevet dannet, blev sårbarheder nogle gange ikke udbedret selv efter seks måneder efter deres opdagelse. I dag bliver 97,7 % af de opdagede sårbarheder udbedret af udviklerne inden for en periode på 90 dage.
Kilde: 3dnews.ru
