חבל שלא הבנת את הקשר בין שני אלו, זה נכתב כך לא סתם.
הכוונה היתה להראות לך, "הנה, בזמן שיש פירצת אבטחה כזו או אחרת בff, שלא תחשבו שעולם החלונות חי חיים שקטים, בזמן זה, מותקפת פי כמה תוכנת האוטלוק אקספרס ואינטרנט איכספלורר".
מקווה שהבנת את הצורך השיווקי שבעניין.

בברכה,
עמרי שושן.
מנהל אתר spikal.net

עמרי - נקודת המבט שלך מעניינת והגיונית, רק שלא לכך כיוונתי.

הידיעה הזו בעצם ממשיכה את הידיעה אודות Sybase והיא נוסבת סביב full disclosure - כן או לא.

שים לב מה קרה כאן - במקרה אחד, הבעיה מדווחת במקום ציבורי, וכתוצאה מכך היא מגיעה לאתר אבטחה יחד עם הוכחת ישימות שאולי יכולה לאפשר לשוחרי רעה לנצל את הבעיה, עוד לפני ששוחרר תיקון לדפדפן. במקרה השני, בעיה שקיימת כבר זמן מה, אבל משום מה פתרונה נמרח, אולי בגלל שהחברה שצריכה לתקן את הבאג מרגישה בטוחה מאחר והוא לא מתפרסם - הרגשה שאולי אינה נכונה כי מי יודע אם המידע על הבאג הזה לא מסתובב איפושהו.

הבאג יכול להיה להיות של כל אחד אחר - בדיוק כמו שבידיעה הקודמת דובר על סייבייס - ולכן מיקרוסופט כאן מקרית לחלוטין.

השאלה הזו (full disclosure כן או לא) מסקרנת למדי, אולי בגלל שאין לה אמת אחת (אלא לכל צד יש נימוקים שנשמעים על פני השטח הגיוניים לחלוטין).

כמובן שלא הייתי חוזר שוב על full disclosure אם לא היה קורה צרוף המקרים של הכנת גרסה חדשה של פיירפוקס ובאג שמתאים בדיוק לגישה ההפוכה.

היו מקרים שפרוייקט מוזילה הסתיר באגי אבטחה בעבר - והם נפתרו רק אחרי חודשים אחרי שמישהו אחר גילה ופירסם אותם.

היו מקרים של באגים של מיקרוסופט שנוצלו על ידי וירוסים ונפתרו כמעט מיידית בגלל הלחץ הציבורי.

ההתנהגות של "אף אחד לא יודע, לכן יש לנו זמן להתמהמה" קשורה לחשיפת הבאג, לא למערכת בו היא נמצאת.

על איזו דוגמה אתה מדבר במוזילה?

(עולה לי דוגמה אחת בראש, אבל שם למיטב זכרוני לא התייחסו אל הבעיה בתור בעיית אבטחה עד שגורם חיצוני לא רקא לה "בעיית אבטחה").

אגב, אם בעיה כבר מנוצלת ע"י "כותבי ווירוסים" זה אומר שהיא לא רק נתגלתה במחתרת אלא גם הופצה מספיק עד שהגיע מישהו שחיבר אותה לקוד זדוני.

צפריר

אתה טוען שהידיעות באתר מנוסחות בהתאם לאינטרסים שיווקיים?!
פתאום יש לי הרבה פחות חשק לראות מה יש באתר שאתה מנהל.

לא אכנס איתך לויכוח מיותר. אולם אם תפתח ותגדיל ראש, תגלה שבכל ידיעה יש אינטרס כזה או אחר. לדוגמא, אתה כעת בעל אתר ואחד מגולשיך מדווח על באג, האם תרוץ בראש חוצות לפרסם אותו, למשל תכניס באג חדש התגלה באתר! או שתרוץ לסדר את הבאג ולהודות לגולש שדיווח ולא ניצל אותו לרעה? ידידי, עם כל הכבוד, בכל מקום יש אינטרס עיסקי/שיווקי או מה שלא תרצה. דוגמא נוספת תהיה "שועל האש כנגד ie". בראש אתר קרן מוזילה מפורסם, "זוהי אלטרנטיבה לie, עיזבו את ie ועיברו כעת לff", שלא לדבר על אנשי השיווק שלהם וכ'. לא תפעל כך תשאר קטן, החלטה שלך. מה שאני כתבתי בתגובתי הקודמת היא תגובת הסבר (שחשבתי שלכך התכוון דוביקס) עבור הגולש ששאל, "למה בתוך ידיעה אודות ff יש לי 'לכלוך' של ms?", אני אישית חשבתי לרגע שזה נובע מאינטרס שיווקי בריא כזה או אחר. בכ"א, אם אין ברצונך להיכנס לאתרי אין יד שמרזיקה אותך מהצוואר, ידידי :-)

מה אחראי במדיניות של eEye?

הם מפרסמים בכל העולם את העובדה שיש פירצה ואיפה, עוד לפני שקיבלו תגובה מהיצרן. מה אם בעקבות המשא ומתן עם היצרן יתברר שאין פירצה? זו תהיה להם בושה ולכן יש להם אינטרס לעבוד נגד היצרן. הם משיגים גם את האינטרס המשני שלהם והוא להפחיד את המשתמשים (כדי שיקנו מהם שירותים ומוצרים).

מדיניות full disclosure שמקובולת ברוב המקומות היא לא לגלות מייד לכל העולם אלא ליצור קשר מייד עם היצרן, לתת לו זמן סביר להגיב ורק אם הוא לא משתף פעולה: לחשוף את הפרצה. בד"כ משתדלים לתאם חשיפה במקביל עם הכנת התיקונים של כמה שיותר "אורזים" כאשר מדובר על פירצה חשובה וכשזה לא מעכב יותר מדי.

צפריר