Microsoft's Bug Bounty Betrayal Puts Everyone in Danger

微軟在公開場合聲稱支持安全研究人員，但最近對Nightmare Eclipse研究團隊的處理方式戳穿了這個謊言。根據逐字稿所述，Nightmare Eclipse按照微軟的協調漏洞揭露(CVD)流程，私下向微軟報告了Windows Defender和BitLocker中的六個重大漏洞。這些研究人員遵守了所有規則，却被微軟拒絕支付漏洞賞金，甚至被拒絕承認這些漏洞的真實性。當官方管道行不通後，微軟乾脆封鎖了Nightmare Eclipse的報告帳戶，切斷了他們正式報告漏洞的途徑。

在無計可施的情況下，Nightmare Eclipse決定將漏洞程式碼公開發佈到GitHub上。這個舉動看似違反了負責任披露的原則，但實際上是在大聲疾呼——微軟一直在淡化的安全問題確實存在。講者在此提出了一個關鍵的反轉：如果漏洞沒有在GitHub這樣的公開平台上發佈，它們極有可能被其他心懷不軌的人發現，然後在暗網黑客論壇上私下出售給勒索軟體集團等犯罪組織。在GitHub上，系統管理員至少有機會在自己的實驗室環境裡測試漏洞，制定內部防禦措施；但若漏洞只被黑帽駭客掌握，普通用戶毫無防守之力。

然而，微軟的回應是進一步打壓。他們封鎖了Nightmare Eclipse在GitHub上的帳戶，儘管這種行動已被證明效率低下。研究人員隨後將代碼庫轉移到GitLab——一個微軟不直接擁有的平台。但微軟依然施加了足夠的影響力，導致Nightmare Eclipse在GitLab上的帳戶也被封鎖了。這個細節耐人尋味：如果您轉向GitLab是為了擺脫微軟的控制，結果微軟仍然能夠在那裡封鎖您，這表明微軟和GitHub的影響力遠超表面。

講者強調，雖然公開PoC代碼確實帶來風險，但微軟的應對方式本末倒置。微軟既然拒絕修復漏洞、拒絕承認漏洞存在、又阻止研究人員報告漏洞，那麼未經授權的公開披露就不只是洩露，更像是有人為微軟發生的重大安全實踐問題拉響火警警報。若建築物真的著火，你不會責怪拉響警報的人，而應責怪縱火者。

如果微軟真心想讓協調漏洞揭露機制正常運作，研究人員入口網站應該是一個他們真正想使用的工具，而非法律陷阱。現行的做法是要求研究人員簽署協議承諾保密，違反則以違約罪名相訴。這種策略加上對未經協調披露的刑事威脅，實質上告訴研究人員：向我們報告漏洞的代價是被封號或被送進監獄。面對這樣的抉擇，有才能的研究人員會作出理性決定——要麼自己私下研究並提供付費諮詢，要麼直接在暗網把漏洞賣給駭客集團（他們確實願意高價購買），要麼匿名洩露讓信息不受控制地流散。在所有結果中，在GitHub上公開披露反而可能是最不壞的選擇。

更深層的危害在於信任的徹底喪失。微軟已公開的Nightmare Eclipse案例只是冰山一角，還有數百起其他案例因微軟拒絕支付漏洞賞金而被塵封。當才華橫溢的安全研究人員逐漸認定向微軟報告漏洞得不到回報，只會被封號或威脅，他們自然會收手不再浪費時間和資源。這最終的結果是Windows系統變得更加脆弱，特別是在當今許多代碼都匆匆推出的時代。