News Google legt Lücke in Windows 8.1 offen, Microsoft verärgert

[MarcDK]

Zumal Microsoft bis auf Hotfixes eigentlich immer alles am Patch-Day ausrollt und das weiß auch Google

Patch-Days passen nicht mehr in das Internetzeitalter von heute. Lücken schließt man sofort und nicht wenn es in den "Plan" passt. Google macht das meiner Ansicht nach genau richtig.

 

[dcc22]

Definition Windows Exploit: Aufgeflogener NSA Backdoor

Wundert sich keiner wieso immer nur 3-4 Lücken pro Patch Welle geschlossen werden, bzw. gefunden werden ?

 

[_CH_K_1991_]

Ich sehe das wie Dr. MarRV
Denn 90 Tage können wenig sein wenn man beachtet, dass das Problem relativ viel Aufwand gegeben hat (steht so im Text) und über Dezember und Januar auch noch Festtage waren.
Und für die Nörgler die wieder reklamieren wieso, Microsoft die Updates nicht einfach sofort ausliefert, ist doch einfach das Prinzip, dass Firmen mit MS Servern und Computern die Updates nicht einfach so mehrfach im Monat ausrollen können sondern diese zuerst Paketieren, testen und dann in den Stufen Test, Int und Prod deployen.

 

[Physikuss]

Ich bin hier auch total auf der Seite von Google. Microsoft sollte das mal als kostenlosen Service anerkennen, auch wenn sie den nicht bestellt haben. Insgesamt sollten sie beim Ausrollen von Sicherheits-Patches mal ne Schippe drauf legen. Es ist nicht das erste Mal, das Lücken unnötig lange ungepatcht bleiben, der IE hat sowas schon oft erlebt. Es muss also offenbar Druck her. An dieser Stelle: Danke Google.

 

[derohneWolftanzt]

Was hier wohl viele gern verdrängen ist, dass Google mit der Veröffentlichung weniger Microsoft als den Nutzern schadet. Wenn ich als Unternehmen durch die Sicherheitslücke jetzt nen materiellen Schaden hätte würde ich den bei Google einklagen, weil die der Meinung sind man muss ne gefundene Lücke auch noch schön verteilen!

Dass MS hier arg langsam war ist eine Sache, aber potenziell Millionen Anwendern absichtlich zu schaden ist ne ganz andere Hausnummer

 

[DunklerRabe]

Es ist Schikane von Google und nichts anderes. Das passt zum asozialen Verhalten Googles, Microsoft wo es nur geht zu blocken und zu behindern.

Ich weiß ja nicht wie das bei dir ist, aber ich lebe in einer Welt, in der man dankbar dafür sein sollte auf einen Fehler in seiner Software aufmerksam gemacht zu werden. Und alles weitere ist dann inherent notwendig, damit ich als Entwickler nicht ewig darauf rum hocke. Es ist ein Zeichen von Anstand und Respekt mit der Veröffentlichung dann zu warten, aber 90 Tage ist genug Zeit.

 

[Tranceport]

Ist schon traurig, dass man bei 90! Tagen immer noch mehr Frist braucht. Denn wer sagt denn, dass nur die Leute bei Google auf die Lücke kommen? Evtl. wird die auch so schon teilweise ausgenutzt.

Und wenn man 90 Tage als Limit setzt, sind 92 Tage eben drüber, einfachste Mathematik. Der nächste heult dann, weil er nur 2 Tage länger brauchte = 94 Tage. Und nach einiger Zeit kann man´s dann auch gleich sein lassen, weil die Frist nicht ernst genommen wird = kein Druck mehr da, Sicherheitslücken schnell zu schließen.

 

[smalM]

Die Firma mit dem meisten Security-Dreck am Stecken ist Google.
Und ausgerechnet die kehren mal wieder "das machen wir alles nur für den Nutzer" heraus?
Wie lächerlich - man hat MS vorführen wollen, das ist alles.

 

[Toms]

Wieviel hier sind denn mit der Software-Entwicklung vertraut? So etwas löst man nicht eben in 3 Minuten. Auch müssen ganz ganz viele Abhängigkeiten getestet werden, mit eigener Software aber auch mit häufig verwendeter Drittanbieter Software.

 

[Dr. MaRV]

Patch-Days passen nicht mehr in das Internetzeitalter von heute. Lücken schließt man sofort und nicht wenn es in den "Plan" passt. Google macht das meiner Ansicht nach genau richtig.

Dazu muss man aber auch erstmal wissen wo die Lücke ist, das Problem reproduzieren und wissen wie man diese Lücke schließen kann. Oder hat Google auch gleich den Action Plan zum Schließen mitgeliefert? Ich denke nicht. Mit dem Finger auf andere zeigen ist einfach. Genau wie es einfach ist, das plötzlich sämtliche Pseudoexperten hier meinen 90 Tage für einen Patch sind genügend Zeit.

Irgendwas kann man sicher gleich sofort bereitstellen, aber das richtige Mittel benötigt nun mal Zeit und wenn diese mehr als 90 Tage beträgt, dann ist das so. Schließlich kann man nicht einfach irgendwelche Entwickler aus irgendwelchen Teams abziehen und Patches schreiben lassen, für Produkte mit deren Entwicklung sie nicht vertraut sind.

Mich wundert es eigentlich auch unheimlich, dass bei dem ganzen Expertentum hier nicht einer Forennutzer auf diese Lücke aufmerksam gemacht hat und diese gleich selbst geschlossen hat. Wie geschrieben, mit dem Finger zeigen kann jeder...

 

[Steffko]

Ich finde, hier geben beide Unternehmen eine außerordentlich schlechte Figur ab.
Microsoft braucht 92 Tage (!), um ein Problem zu fixen, das ihnen von google mitgeteilt wird. Das ist m.E. eine Frechheit.
Google ist nicht fähig, die Veröffentlichung des Problems 2 Tage aufzuschieben, weil sie ja ihre Prinzipien haben...

Würde mich mal interessieren, ob man hier als Nutzer im Schadensfall nicht auch Microsoft (wegen Fahrlässigkeit) und Google (Vorsatz) in Regress nehmen könnte.

 

[Piktogramm]

Diese Form von Druck soll dazu führen, dass auch Strukturen soweit geändert werden, dass Patches schneller veröffentlich werden können UND das auch bei der Softwareentwicklung sich von Konstrukten verabschiedet wird die nahezu nicht mehr zu Patchen sind. Im Endeffekt also auch bessere Software am Markt vorherrscht. Solche Prozesse tun weh und gehen nur mit Gewalt.
Insofern macht es Google genau richtig!


Jedoch hat Google auch Kritik verdient. Deren Betriebssystem namens Android ist was Patches angeht das schlechteste, der weit verbreiteten Systeme!

 

[Sebbl2k]

Ich sehe das wie Dr. MarRV
Denn 90 Tage können wenig sein wenn man beachtet, dass das Problem relativ viel Aufwand gegeben hat (steht so im Text) und über Dezember und Januar auch noch Festtage waren.
Und für die Nörgler die wieder reklamieren wieso, Microsoft die Updates nicht einfach sofort ausliefert, ist doch einfach das Prinzip, dass Firmen mit MS Servern und Computern die Updates nicht einfach so mehrfach im Monat ausrollen können sondern diese zuerst Paketieren, testen und dann in den Stufen Test, Int und Prod deployen.

da steht eigentlich alles für die unwissenden nörgler...
google hat mächtig mist gebaut...

 

[nixxxx]

Nun, durch die Veröffentlichung durch Google, erreicht die Sicherheitslücke ein Publikum, das es ohne Veröffentlichung nicht gegeben hätte. Sprich je mehr Leute davon wissen, desto höher ist die Wahrscheinlichkeit dies auszunutzen. Und da es für Endkunden (noch) keinen wirklichen Schutz gibt, ist diese Aktion von Google aus Kundensicht total unnütz und bezweckt nur das Gegenteil!

 

[SnooW]

Patch-Days passen nicht mehr in das Internetzeitalter von heute. Lücken schließt man sofort und nicht wenn es in den "Plan" passt. Google macht das meiner Ansicht nach genau richtig.

Und wenn man bedenkt, dass bis dahin schon 2 patch-days verstrichen waren, ist es umso schlimmer.

 

[Melkor03]

Eben, die Testerei ist das Problem und das sicherzustellen, ist halt keine Sache von 3min sondern erfordert enormen Aufwand - vorallem wenn es um die Benutzerverwaltung geht, was in jedem Netzwerk zu Problemen führen kann. Gerade MS hat da die letzten Monate genug vorschnelle Ergebnisse ausgerollt...
Aber MS, stellt ein Team auf und durchforstet mal die Google-Dienste nach Lücken - die werden dann in 3 Tagen geschloßen, aber dann funktioniert es nicht bei allen Kunden mehr...aber das wird ja hier gefordert

 

[deo]

Ab sofort lässt sich sich MS Vorabinfos auch noch bezahlen. Das schafft keine Freunde.
2007 hat es angefangen http://www.heise.de/security/meldung/Mehr-Vorabinfos-zum-Microsoft-Patchday-131039.html
und nun endet es wieder http://www.heise.de/security/meldung/Microsoft-stellt-seine-Patchday-Vorschau-ein-2514550.html
Es könnte also sein, dass genau deshalb Google keine Infos hatte, was am morgigen Patchday geschlossen wird... also dumm gelaufen MS

edit: es ist doch anders gelaufen:

Demnach habe man Google darüber informiert, dass zum Januar-Patchday, also am morgigen Dienstag, ein entsprechender Patch verteilt werden soll. Die von Google im Rahmen der Responsible Discloure eingeräumte Schonfrist lief allerdings schon am Sonntag ab – also zwei Tage zu früh.

http://www.heise.de/security/meldun...-vor-dem-Patch-Microsoft-jammert-2516168.html

 

[YforU]

Ich weiß ja nicht wie das bei dir ist, aber ich lebe in einer Welt, in der man dankbar dafür sein sollte auf einen Fehler in seiner Software aufmerksam gemacht zu werden. Und alles weitere ist dann inherent notwendig, damit ich als Entwickler nicht ewig darauf rum hocke. Es ist ein Zeichen von Anstand und Respekt mit der Veröffentlichung dann zu warten, aber 90 Tage ist genug Zeit.

Wenn es wie in diesem Fall ein festgesetztes Veröffentlichungsdatum gibt welches auch noch nahe an der von Google selbst festgelegten Grenze liegt ist das Vorgehen unverantwortlich. Von wegen 90 Tagen: Es handelt sich hier um eine komplexe und produktiv eingesetzte Software (-> Betriebssystem). Da erwarte ich als Kunde zwar das der Patch möglichst zeitnahe erscheint, negative Auswirkungen mangels ausreichender Qualifizierung des Updates darf es aber in keinem Fall geben. Wir reden hier von Sicherheitsupdates und die laufen in den meisten Unternehmen ohne detaillierte Prüfung (Kompatibilität zu bestehender Anwendungssoftware) durch. Ein Rollback fahren zu müssen will wirklich keiner.

 

[Dr. MaRV]

Und wenn man bedenkt, dass bis dahin schon 2 patch-days verstrichen waren, ist es umso schlimmer.

Noch so einer, wenn dein Rechner dann Blue Screens produziert und nicht mehr startet, bist du vermutlich auch der erste der hier einen Post aufmacht und sich über die Pfuscherei beschwert, das man bei Microsoft nicht mal in der Lage ist einen Fehlerfreien Patch abzuliefern.

Vermutlich habt ihr alle Star Trek Computer zu Hause.

"Computer, mein Windows ist nicht sicher, bitte fixe das Problem und verteile einen Patch". Einmal weiter als bis zu Tischkannte... kann doch nicht so schwer sein!?

Ab sofort lässt sich MS Vorabinfos auch noch bezahlen.

Ich habe schon vor zwei Wochen von der Situation bei Heise gelesen. Es war also schon länger bekannt, dass Microsoft die 90 Tage Frist nicht einhalten kann und hat Google dies mit der Bitte um Aufschub auch schon vor Wochen mitgeteilt. Google hat sich schlicht geweigert der Bitte nachzugehen.

http://www.heise.de/security/meldun...-fuer-Zero-Day-Luecke-in-Windows-2507565.html

 

[Trefoil80]

Google sollte mal selbst den Ball schön flachhalten.

Die sind selbst dafür verantwortlich, dass es Millionen von Android-Geräten im Netz gibt, die gravierende Sicherheitslücken aufweisen, da eine zu alte Android-Version verwendet wird.

Da man sich ja nur als "OS-Ersteller" sieht, kann man die Verantwortung dafür schön an die Hardware-Hersteller abschieben...

*thumbs down*, Google !