Google：Project Zero揭露的漏洞，96%可在90天修补完成

令厂商又爱又恨Google安全研究团队Project Zero上周指出，从2014年以来该团队发现的漏洞中，高达95.8%都能在期限的90天内修补完成。虽然遭批评，但Google认为设定期限让网络整体变得更安全。

Project Zero是Google负责挖掘研究开源码或市售软、固件的漏洞。当发现到新漏洞时，Project Zero会寄发该漏洞的详细技术描述报告给厂商或开源码专案。报告会告知有90天的揭露大限，等90天一到或修补程式广为散布（视哪个比较早），这份报告就公诸于世，不论漏洞修补好了没。许多知名厂商的重大漏洞，包括英特尔的Spectre/Meltdown或苹果FaceTime及最近的iMessage漏洞都是这个部门的研究杰作，微软甚至两度在修补完成被Project Zero公布漏洞而大表不满。

现今Google只有二次破例延长揭露漏洞期限。一是Spectre/Meltdown的216天，二是2016年10月MacOS 10.12.1/iOS 10.1中的task_t iOS漏洞的145天。

从2014年启动至今年7月30日，Project Zero公布的漏洞中，有1,585个及时在期限内获得修补，比例为95.8%，66个没补好。2015年2月13日Project Zero增加14天的揭露宽限期。因此若把时间限缩于2015年2月13日（修补期限改为90+14天）到今年7月底，则及时修补好的漏洞有1,434个，比例高达97.5%，其中90天内修补者有1,224个。只有36个未在期限内修补完成。

Google认为这样的作法有助于提升软件安全性，因为如果漏洞只有厂商和记者知情，业者就不会紧急去修补，但有证据显示，攻击者发现同一批漏洞的速度，并不亚于安全研究人员。

至于公布不问修补完成与否，90天一到即公布漏洞及概念验证（PoC）攻击程式，岂不是刚好为骇客所用？Project Zero也有他的说法。他们认为，报告中的概念验证攻击往往只是完整攻击串（exploit chain）的一部分，任何有意图的攻击者也要花一番工夫和资源，才能转化为真正的攻击行动。相反的，有资源的研究人员可借由Google分析报告上获得最多好处。再者这几年的经验显示，那些来不及补好的漏洞，通常也是在90天之后几天就补上修补程式了。Google甚至认为，随着业界更多安全研究人员在其报告中加入揭露期限，将可进一步健全漏洞通报的作法。

最后，Google说，只有Project Zero团队和“20% 专案”（即Google员工有20%的上班时间可用在非本职的专案上）与Project Zero有关的Google员工，会比大众更早拿到漏洞报告。唯一的例外是，报告主角（即有漏洞者）是Google自己的产品，例如Chrome、Android或其他Google软件部门。