Между американской компанией Fireмye и германской ERNW вспыхнул конфликт

[Eternity]

Причины ссоры

Компания FireEye, известная своими регулярными обвинениями в атаках на США «пророссийских хакеров», поссорилась с германской ERNW, также специализирующейся на информационной безопасности. Поводом для разногласий послужил отчет ERNW о пяти уязвимостях, найденных в продукте Malware Protection System (MPS) компании FireEye. Причем одна из уязвимостей предоставляла злоумышленникам возможность получения доступ к системе, на которую устанавливался продукт MPS. Malware Protection System — решение для обнаружения вредоносной активности в корпоративных сетях и защиты от целенаправленных атак.

Претензии к черновику доклада и новая версия

Обнаружив уязвимости в MPS, ERNW в апреле 2015 г. связалась с FireEye, как это обычно происходит в подобных случаях. В июле 2015 г., после стандартный 90-дневный период неразглашения, ERNW представила на суд FireEye черновик доклада об уязвимостях. Он FireEye не понравился, так как, по словам представителей компании, содержал слишком большое количество технической информации о работе решения MPS, который вовсе необязательно рассказывать третьим лицам.

В ERNW придерживались иной точки зрения — в компании считали, что представили в докладе минимум технической информации, необходимой для четкого разъяснения природы уязвимостей. В любом случае, эксперты из ERNW согласились внести правки в документ, чтобы он удовлетворял FireEye.

Урегулированные претензии и внезапное письмо

В начале августа представители ERNW и FireEye встретились в Лос-Анджелесе, чтобы обсудить новый черновик, который специалисты ERNW подготовили к этому времени. Представители FireEye одобрили его, и стороны пришли к согласию опубликовать его. Тем не менее, в течение 24 часов после встречи в офис ERNW пришло письмо-предупреждение от FireEye с требованием воздержаться ERNW от раскрытия интеллектуальной собственности. В письме явно говорилось, что никакого консенсуса на встрече в Лос-Анджелесе достигнуто не было, рассказал в блоге основатель ERNW Энно Рей (Enno Rey).

Более того, не успела ERNW отправить FireEye письменный ответ, как получила судебный запрет на свои действия, направленный по просьбе FireEye окружным судом в Гамбурге.
Комментарий FireEye

FireEye не хотела запрещать ERNW публикацию сведений об уязвимостях, сообщил IDC News Service вице-президент FireEye по глобальным коммуникациям Витор Де Соуза (Vitor De Souza). Компания всего лишь оберегала свою собственность, раскрытие которой «могло бы поставить в невыгодное положение бизнес компании или ее клиентов», пояснил он.

На этой неделе сотрудники ERNW представили презентацию о найденных в продукте FireEye MPS уязвимостях на конференции 44CON в Лондоне. При этом слайды, информацию на которых компании запретил публиковать германский суд, были целиком закрашены черным цветом с пометкой ярким красным цветом Rejected («Отклонено»).

Мнение ERNW

В ERNW продолжают недоумевать по поводу произошедшего. «Мы уже 10 лет занимаемся поиском уязвимостей в продуктах ведущих брендов. И за все это время события лишь единожды зашли в правовое поле. И инициатором этого стал даже не разработчик софта, а сторонняя компания и при сложных политических обстоятельствах. И то эта проблема была решена в течение двух часов посредством телефонных звонков», — рассказал Энно Рей.

«Мы можем лишь догадываться о мотивах FireEye», — продолжил основатель ERNW, предпочтя не делиться ими. «В целом мы не считаем адекватным обращаться в суд с требованием наказать исследователей, уведомляющих производителей софта о наличии уязвимостей в их продуктах», — добавил он.

Случай с Oracle

В августе 2015 г. директор Oracle по безопасности Мэри Энн Девидсон (Mary Ann Davidson) опубликовала в блоге корпорации гневную заметку с просьбой прекратить присылать Oracle сообщения о найденных уязвимостях в ее продуктах. Потому что Oraclе разбирается в уязвимостях лучше, а те, кто выполняют обратный инжиниринг кода, нарушают лицензию на продукт. Девидсон напомнила, что обратный инжиниринг является нарушением лицензионного соглашения с Oracle на использование продуктов. Таким образом, компания не может «быть благодарна за нарушение лицензии», даже если эксперт нашел уязвимость.

Кроме того, Девидсон дала понять, что Oracle лучше справляется с поиском уязвимостей и получает множество ложных сообщений. «Потому, пожалуйста, не тратьте ваше время на то, чтобы сообщить нам, что увидели маленьких зеленых человечков в нашем коде», — заявила она в своем открытом обращении.

Вскоре после публикации эта заметка была удалена.