Google, notamment, a pour habitude de publier les détails d'une faille qu'il a découverte une semaine après en avoir informé les intéressés. Une manière de leur mettre la pression à laquelle Microsoft a déjà dû faire face.
Microsoft découvre une faille dans Chrome
Dans le cadre de la recherche de failles, l'équipe Microsoft Offensive Security Research a identifié une faille critique permettant l'exécution de code à distance dans le navigateur de Google, Chrome. Microsoft a signalé la faille à Google le 14 septembre 2017, avec toute une série d'autres failles mineures, ce qui a permis à l'équipe de Microsoft de gagner très exactement 15.837 dollars dans le cadre du programme de Google.Naturellement, Microsoft n'a pas touché l'argent : l'entreprise a désigné le centre pour l'éducation Denise Louie de Seattle comme bénéficiaire et Google lui a versé 30.000 dollars. Surtout, comme le signale Microsoft sur son blog le 18 octobre 2017, Google a créé un correctif en un temps record : 4 jours. La version téléchargeable du navigateur, elle, a été mise à jour en moins d'une semaine.
Une mise à jour publiée sur Github avant le déploiement d'un patch
Que reproche Microsoft à Google sachant que ce dernier a résolu le problème en moins d'une semaine, soit le temps que Google donne à ses concurrents ? La publication, sur Github, du code source du patch pour la faille en question. Une publication qui n'aurait pas posé problème si elle n'avait pas été faite, précise Google, en amont du déploiement du correctif.En fait, si Google a bien corrigé le build, le fichier téléchargeable de Chrome, les utilisateurs du navigateur n'ont pas eu de correctif pendant près d'un mois alors que le code source du correctif était publique. Ce n'est qu'un mois après qu'une mise à jour a été déployée. Pour Microsoft, Google a laissé aux hackers un mois pour identifier la faille et l'exploiter avant de corriger le problème chez ses utilisateurs.
Entre Google et Microsoft, c'est certain, la hache de guerre n'est pas prête d'être enterrée.
