Microsoft تهدد باتخاذ إجراءات قانونية ضد باحث أمني

نشرت شركة Microsoft يوم الأربعاء تدوينة تنتقد فيها باحثاً أمنياً يُعرف باسم Nightmare Eclipse لقيامه بالكشف علناً عن سلسلة من الثغرات دون إبلاغ الشركة بها أولاً. وتهدد عملاقة التكنولوجيا باتخاذ إجراءات قانونية وإبلاغ الشرطة عن الباحث. وحذرت Microsoft من أن “وحدة الجرائم الرقمية” (Digital Crimes Unit) التابعة لها -وهي القسم الداخلي للشركة المعني بالإجراءات القانونية والإنفاذ- ستواصل رفع قضايا ضد هؤلاء الفاعلين ومن يُمكّنون أنشطتهم الإجرامية، مع التنسيق عند الحاجة مع جهات إنفاذ القانون حول العالم. وتدّعي Microsoft أن Nightmare Eclipse قد يكون ساعد قراصنة خبيثين من خلال نشر تفاصيل الثغرات قبل إصلاحها. ووفقاً لـ Microsoft ووكالة الأمن السيبراني الأمريكية CISA، فقد تم بالفعل استخدام بعض الثغرات التي كشف عنها Nightmare Eclipse من قبل قراصنة في هجمات واقعية.

وفي سلسلة من التدوينات التي نُشرت خلال الأسبوعين الماضيين، ادعى Nightmare Eclipse أنه كان على تواصل مع Microsoft، لكن الشركة أساءت معاملته -بحسب ادعاءاته- بما في ذلك إلغاء وصوله إلى حسابه في “مركز استجابة أمان Microsoft” (Microsoft Security Response Center)، وهو البوابة التي يبلغ من خلالها الباحثون عن الثغرات. وقام الباحث لاحقاً بنشر الثغرات على مستودعات البرمجيات مفتوحة المصدر GitHub، المملوكة لشركة Microsoft، وGitLab. ومنذ ذلك الحين، حظرت كلتا المنصتين حسابات الباحث. ونظراً للكشف عن هذه العيوب دون توفير تصحيحات لها، فقد أصبحت “ثغرات يوم الصفر” (zero-days)، وهو المصطلح الذي يُطلق على العيوب الأمنية غير المعروفة لصانع البرمجيات وقت الكشف عنها.

أثار هذا النزاع انتقادات واسعة من مجتمع الأمن السيبراني، مما أحيا جدلاً يعود تاريخه إلى عام 2009 عندما أُطلقت حملة بعنوان “No More Free Bugs”. وبعد مرور ما يقرب من 20 عاماً، تدفع معظم الشركات مكافآت مقابل اكتشاف الثغرات -وهي مكافآت مالية للإبلاغ عن الثغرات يمكن أن تصل إلى ستة أرقام أو أكثر- للباحثين الذين يكشفون عن الثغرات بشكل خاص. وينتقد خبراء الأمن السيبراني إصرار Microsoft على “الكشف المسؤول” (responsible disclosure)، وهو المصطلح الصناعي للإبلاغ عن الثغرات للبائعين. وحذرت Katie Moussouris، مؤسسة شركة Luta Security التي أقنعت Microsoft سابقاً بتبني “الكشف المنسق” (coordinated disclosure) بدلاً من ذلك، من أن التهديد بالملاحقة القضائية سيخلق تأثيراً مخيفاً. وقالت Moussouris: “إن إضافة تهديد بالملاحقة القضائية من خلال ذكر [وحدة الجرائم الرقمية] كان أمراً مبالغاً فيه، ولن يؤدي إلا إلى فقدان الباحثين الأمنيين ثقتهم في Microsoft”. كما انتقد Kevin Beaumont، وهو باحث أمني وموظف سابق في Microsoft، موقف الشركة واصفاً إياه بأنه “كارثة من صنعها”، ومجادلاً بأن استخدام هذه العملية لمحاولة مقاضاة الأشخاص جنائياً يمثل مستوى متدنياً جديداً.

لماذا يهم

يُعيد الموقف العدواني لشركة Microsoft إشعال جدل طويل الأمد حول مسؤوليات الباحثين الأمنيين مقابل التزامات عمالقة التكنولوجيا بالتعامل مع الكشف عن الثغرات الأمنية دون اللجوء إلى التهديدات القانونية.