La política de Microsoft sobre publicación de parches consiste en liberar todos los parches a la vez el segundo martes de cada mes (Patch Tuesday). Esta política, vigente desde 2003, permite a la compañía comprobar el correcto funcionamiento de los parches y la existencia de interacciones entre ellos. Según Microsoft, estos ciclos mensuales permiten a los administradores de sistemas planificar más cómodamente las actualizaciones de sus máquinas y los reinicios de los sistemas críticos. Microsoft gestiona los bugs a su criterio y de manera confidencial, lo que supone que en muchos casos la publicación del parche se retrase sine die. El Project Zero es un grupo de investigadores de seguridad informática contratados por Google para trabajar a tiempo completo buscando vulnerabilidades y exploits en cualquier tipo de software popular. Cuando el Project Zero descubre una vulnerabilidad en un software ajeno a Google, se pone en marcha un procedimiento estandarizado: se contacta de manera privada con el desarrollador de dicho software para informarle del descubrimiento, y 90 días después los bugs se anuncian de manera pública. Google considera que este plazo de 90 días es suficiente para que el desarrollador arregle el error reportado y distribuya actualizaciones a sus usuarios, sin excepciones. Leo en Ars Technica que las diferentes políticas de publicación de vulnerabilidades manejadas por Google y Microsoft han hecho que los usuarios finales tengamos una vulnerabilidad explotable en nuestras máquinas Windows 8.1 durante dos días. Google informó del problema a Microsoft el 13 de Octubre. El periodo de confidencialidad de 90 días del Project Zero terminaba un domingo, pero Microsoft esperó al Patch Tuesday del 13 de Enero para publicar la actualización. El director del Microsoft Security Response Center ha publicado una queja pública por la postura de Google, criticando el periodo de gracia no negociable de 90 días. Microsoft podía haberse saltado su política, y publicar el parche dos días antes del martes de publicación oficial; Google podía haberse saltado su política, y haber esperado 92 días para anunciar la existencia del bug. Ninguno lo hizo. ¿Quién actuó mal?. ¿Es defendible que Google fuerce a otra compañía a modificar sus plazos de resolución de bugs, cuando la propia Google no es precisamente ejemplar solucionando los bugs de Android? Más opiniones en reddit y Slashdot.<\/p>\n","protected":false},"excerpt":{"rendered":"
La política de Microsoft sobre publicación de parches consiste en liberar todos los parches a la vez el segundo martes de cada mes (Patch Tuesday). Esta política, vigente desde 2003, permite a la compañía comprobar el correcto funcionamiento de los parches y la existencia de interacciones entre ellos. Según Microsoft, estos ciclos mensuales permiten a los administradores de sistemas planificar más cómodamente las actualizaciones de sus máquinas y los reinicios de los sistemas críticos. Microsoft gestiona los bugs a su criterio y de manera confidencial, lo que supone que en muchos casos la publicación del parche se retrase sine die. El Project Zero es un grupo de investigadores de seguridad informática contratados por Google para trabajar a tiempo completo buscando vulnerabilidades y exploits en cualquier tipo de software popular. Cuando el Project Zero descubre una vulnerabilidad en un software ajeno a Google, se pone en marcha un procedimiento estandarizado: se contacta de manera privada con el desarrollador de dicho software para informarle del descubrimiento, y 90 días después los bugs se anuncian de manera pública. Google considera que este plazo de 90 días es suficiente para que el desarrollador arregle el error reportado y distribuya actualizaciones a sus usuarios, sin excepciones. Leo en Ars Technica que las diferentes políticas de publicación de vulnerabilidades manejadas por Google y Microsoft han hecho que los usuarios finales tengamos una vulnerabilidad explotable en nuestras máquinas Windows 8.1 durante dos días. Google informó del problema a Microsoft el 13 de Octubre. El periodo de confidencialidad de 90 días del Project Zero terminaba un domingo, pero Microsoft esperó al Patch Tuesday del 13 de Enero para publicar la actualización. El director del Microsoft Security Response Center ha publicado una queja pública por la postura de Google, criticando el periodo de gracia no negociable de 90 días. Microsoft podía haberse saltado su política, y publicar el parche dos días antes del martes de publicación oficial; Google podía haberse saltado su política, y haber esperado 92 días para anunciar la existencia del bug. Ninguno lo hizo. ¿Quién actuó mal?. ¿Es defendible que Google fuerce a otra compañía a modificar sus plazos de resolución de bugs, cuando la propia Google no es precisamente ejemplar solucionando los bugs de Android? Más opiniones en reddit y Slashdot.<\/p>\n","protected":false},"author":50,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_et_pb_use_builder":"","_et_pb_old_content":"","_et_gb_content_width":"","ngg_post_thumbnail":0,"footnotes":""},"categories":[5],"tags":[],"_links":{"self":[{"href":"https:\/\/salesianosatocha.es\/informatica\/wp-json\/wp\/v2\/posts\/1416"}],"collection":[{"href":"https:\/\/salesianosatocha.es\/informatica\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/salesianosatocha.es\/informatica\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/salesianosatocha.es\/informatica\/wp-json\/wp\/v2\/users\/50"}],"replies":[{"embeddable":true,"href":"https:\/\/salesianosatocha.es\/informatica\/wp-json\/wp\/v2\/comments?post=1416"}],"version-history":[{"count":1,"href":"https:\/\/salesianosatocha.es\/informatica\/wp-json\/wp\/v2\/posts\/1416\/revisions"}],"predecessor-version":[{"id":1418,"href":"https:\/\/salesianosatocha.es\/informatica\/wp-json\/wp\/v2\/posts\/1416\/revisions\/1418"}],"wp:attachment":[{"href":"https:\/\/salesianosatocha.es\/informatica\/wp-json\/wp\/v2\/media?parent=1416"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/salesianosatocha.es\/informatica\/wp-json\/wp\/v2\/categories?post=1416"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/salesianosatocha.es\/informatica\/wp-json\/wp\/v2\/tags?post=1416"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}