Deadline voor softwareleveranciers na bugmelding

Tot nog toe houdt Tipping Point daarbij vast aan de regel dat details van het lek pas gemeld worden als er een patch is. In kringen van beveiligingsonderzoekers groeit de onrust over deze ‘responsible disclosure’-regel. Men vindt dat de verantwoordelijkheid wel erg eenzijdig bij de ontdekkers van lekken wordt gelegd. Softwareleveranciers maken lang niet altijd haast met het dichten van het lek, en in de tussentijd groeit de kans dat een andere onderzoeker, mogelijk met minder eerbare bedoelingen, dezelfde ontdekking doet.

Cijfers van Tipping Point geven deze critici steun in de rug. Volgens directeur beveiligingsonderzoek Aron Portnoy heeft Tipping Point nu 120 meldingen in de boeken staan van bugs die nog niet gepatcht zijn; ettelijke daarvan zijn al meer dan een jaar geleden gemeld.

Google-medewerkers kwamen onlangs met het voorstel van een limiet van 60 dagen na melding voor het uitbrengen van een patch. Aanleiding daarvoor was een conflict van hun collega Tavis Ormandy met Microsoft.

Tipping Point zag in de discussie kennelijk aanleiding om de verantwoordelijkheden van de softwareleveranciers duidelijker te omschrijven. Wel kiest het voor een beduidend langere termijn dan de Google-medewerkers voorstelden, en biedt het leveranciers een ontsnappingsclausule.