安全專家稱不再向廠商免費提供漏洞資訊

北京時間3月25日訊息，據國外媒體報導，日前三個業界知名安全專家稱，對於商用產品中發現的漏洞資訊，不再向廠商免費提供。

安全專家迪諾·佐威(Dino Dai Zovi)、查理·米勒(Charlie Miller)和亞歷克斯·索特威(Alex Sotirov)表示，不再向廠商免費提供其產品中的安全漏洞資訊，除非廠商肯制定機制來對他們的工作進行補償。米勒則已經將這種想法付諸行動，在發現了一個安全漏洞後並未告知廠商，並且在不久前的黑客大賽上成功利用該漏洞實現了入侵，並因此而獲得了一臺MacBook和5000美元獎金。

不過，這些安全專家不建議安全研究人員拿著已經發現的漏洞來向廠商索要補償，因為這種做法有時候會被看做敲詐。

佐威在其部落格中表示，需要更合法、更透明的方式來向安全研究工作付費，這樣才能體現安全研究者工作發現的價值，並激勵更多的安全人員來發現廠商產品中的漏洞，並向它們彙報。

微軟目前已經建立了一個內部部門來專門處理由第三方發現的漏洞，並對其進行修復。但許多其它廠商依然繼續不把安全研究者的工作當回事。

佐威表示，目前廠商與安全研究者之間的關係，對安全研究人員和軟體客戶都是不公平的。

他在部落格中寫到，“專業漏洞搜尋需要花費的精力很大，軟體廠商不能不勞而獲，無償從安全研究人員那裡獲得其產品的漏洞資訊和解決方案，這是不公平的。”