微軟因威脅對資安研究員提起法律訴訟而遭到批評

微軟威脅對漏洞揭露研究員採取法律行動，引發社群撻伐

根據 TechCrunch 報導，一名使用「Nightmare Eclipse」化名的資安研究員，近日公開發表了一系列微軟產品中尚未修補的漏洞，並附上可用於利用這些漏洞的程式碼。然而，微軟對此的回應並非感謝或積極修補，而是威脅要對該研究員提起法律訴訟並報警處理。

週三，微軟發表了一篇部落格文章，公開批評該研究員將多項漏洞資訊公諸於世，包括被命名為 BlueHammer、RedSun、UnDefend 及 YellowKey 的安全缺陷。這些漏洞影響了微軟旗下多款產品。

資安社群強烈反彈

微軟的強硬態度在資安社群中引發了廣泛的批評聲浪。許多業界人士認為，威脅對善意揭露漏洞的研究人員採取法律行動，不僅無助於提升產品安全性，反而會對整個資安生態系統產生寒蟬效應，使得未來更少研究員願意主動回報安全問題。

資安研究員與軟體廠商之間的漏洞揭露爭議由來已久。業界普遍採用的「負責任揭露」（Responsible Disclosure）流程，通常會給予廠商一定時間修補漏洞後再公開。然而，當廠商遲遲不修補或忽視通報時，部分研究員會選擇直接公開披露，以促使廠商正視問題並保護使用者。

微軟此次的處理方式，被認為與科技業近年來逐漸重視資安研究員貢獻的趨勢背道而馳，也與許多大型科技公司設立漏洞懸賞計畫、鼓勵研究員回報問題的做法形成鮮明對比。

原文來源： 查看原文