Meltdown / Spectre事件将科技行业的安全问题披露流程引起了公众的关注。 正如我们之前所报道的，这些漏洞是Google的Project Zero研究小组发现的。一个多公司的解决方案倡议于2017年6月开始进行。为确保有足够的时间来开发修补程序，公司之间同意制定一项保密政策，在1月9日正式披露这些漏洞。然而，这个故事已经在之前就泄露出去，最终迫使在1月3日正式披露这件事。 美国政府并不是那些对这些漏洞有深入了解的人，当公众了解到这些漏洞时，他们也就知道了这些漏洞。国会开始对事件进行调查，并致函英特尔，亚马逊，苹果，谷歌，微软，AMD和Arm等公司。这封信在这里发布，包含九个问题。特别感兴趣的是为什么这些公司选择禁止有关这些漏洞的信息，以及这些公司是否分析了美国基础设施漏洞的风险或延迟披露的风险。 来自这些公司的回复信已经发布，并且他们对引发Meltdown / Spectre事件提供了一个有趣的观点。他们很清楚地表明，Google通过向其他公司披露漏洞开始了这一举措，所有这些公司都同意遵守其标准政策，该政策提供90天的修复时间，以便在公开披露之前进行修复。由于问题严重，两家公司和谷歌同意延长期限以达到原定的披露日期1月9日。  当然，重点将放在英特尔的信上。该公司表示，它认为它通过维护并随后扩大禁运来正确行事。它的推理是，有限的披露这件事将对修复漏洞有好处，而公开披露只会增加攻击者开发漏洞的速度，可能会超过公司修复的速度。 英特尔也不相信Meltdown / Specter对美国基础设施构成风险。该公司表示，没有证据表明这些漏洞已被利用，任何漏洞利用代码都必须在本地运行。由于英特尔明白美国大部分基础设施都使用运行嵌入式代码的嵌入式系统，无法访问互联网，也无法同时运行多个程序，所以它没有将Meltdown / Specter视为该领域的威胁。 英特尔没有说明为什么选择不向美国政府披露这些漏洞，但它承认向一些合作伙伴披露这些问题。1月下旬，有传言称，英特尔曾在与中国公司有密切关系的中国公司封锁信息过程中讨论过这些漏洞，但英特尔在信中没有提及任何具体的公司。 Google的回应也很有趣。该公司将其作为一个中立的角色来发现并通知其他公司其CPU的脆弱性。 90天的期限是其他公司可以选择是否遵循的政策。决定是否向美国政府或任何其他方面披露是由他们决定的。谷歌的回应非常简单：他们不会分析其他人的漏洞带来的风险。这种回应与其他有效指责芯片制造商的软件公司略有不同。 AMD和Arm的反应是可以预测的。 AMD同意谷歌的截止日期，并没有透露任何一方的漏洞。它的信中几乎没有提到Spectre的漏洞，AMD承认它容易受到攻击。 Arm指出其商业模式包括直接IP许可和架构IP许可，但不包括芯片制造。因此，该公司对于许可其设计的芯片负有部分责任，但它无法修复它们。 Arm表示它在这个问题上与客户合作。 显然，英特尔仍然是正在进行的熔毁/幽灵问题中的关注焦点。为什么选择不向美国政府披露是值得质疑的。也许是因为该公司认为在没有解决问题的情况下这样做毫无用处。很容易将责任归咎于英特尔，但我们不要忘记，AMD和Arm CPU也部分参与了这一事件，他们也都没有选择透露这些漏洞。 （商业转载请联系[email protected],非商业转载请注明转自美国华人网FuninUSA。） 微信公众号搜索" FuninUSA "加关注，每日滚动更新美国市场讯息:金融、零售、批发。推荐关注！【微信扫描下图可直接关注】
【返利网站】返利额度最高的海外购物返利网站TopCashBack：平均返利7~10%，注册就送$10，点我注册。 【新浪微博官方账号】很省钱 : 每日滚动更新美国市场投资资讯，微商进货首选资讯渠道。 |
关于我们|Archiver|手机版|小黑屋|美国采购网DealABC_工业品给世界动力,艺术品给世界温暖
GMT+8, 2024-5-31 22:37 , Processed in 0.060321 second(s), 9 queries , Gzip On, Apc On.
Powered by Discuz! X3.1
© 2014-2016 Sky-Express Inc.
