قوقل تعتمد سياسة جديدة للكشف العلني عن الثغرات خلال أسبوع من إبلاغ الجهة المتأثرة

أعلنت غوغل عن بدء تنفيذ سياسة جديدة تُلزم فريق Project Zero بالكشف العلني عن الثغرات التي يكتشفها خلال أسبوع واحد فقط من إبلاغ الجهة أو المورد المعني، وذلك في إطار تجربة تحمل اسم Reporting Transparency تهدف إلى تسريع معالجة الثغرات وزيادة الشفافية مع المستخدمين النهائيين.

رغم هذا التغيير، سيظل الفريق ملتزماً بسياسة 90+30 التقليدية، والتي تتيح 90 يوماً للمورد لمعالجة الثغرة قبل الكشف الكامل، مع فترة إضافية من 30 يوماً لاعتماد التحديث في حال تم إصلاح الخلل قبل انقضاء المهلة.

ابتداءً من 29 يوليو، سيبدأ الفريق بالكشف عن معلومات محدودة بعد أسبوع من إرسال التقرير، وتشمل:

• اسم المورد أو المشروع مفتوح المصدر الذي تلقى التقرير
• المنتج المتأثر
• تاريخ إرسال التقرير وتاريخ انتهاء المهلة التي تمتد لـ 90 يوماً

وفقاً لما نشره تيم ويليس، الباحث في Google Project Zero، فإن هذا النوع من الإشعارات سيُتيح للمستخدمين ومشغلي الأنظمة تتبع المنتجات التي قد تكون عرضة لثغرات ناشئة، ما يُسهم في تقليص ما يُعرف بفجوة التحديث بين الموردين الأساسيين والمستخدمين النهائيين.

فجوة التحديث هذه تحدث عندما يُصدر المورد الأساسي حلاً للثغرة، لكن الأطراف المعتمدة على هذا المورد، والتي تتولى توفير المنتج النهائي للمستخدمين، لا تدمج التحديث في الوقت المناسب، ما يُطيل عمر الثغرة ويُبقي الأنظمة مكشوفة للخطر.

قال ويليس: “نأمل أن تُحفّز هذه التجربة إنشاء قنوات اتصال أقوى بين الموردين الأساسيين ومطوري البرمجيات النهائية، بما يُسهم في تسريع إصدار التحديثات واعتمادها من قبل المستخدمين”.

وأكّد أن المعلومات التي سيُفصح عنها خلال الأسبوع الأول لن تتضمن أي تفاصيل تقنية، أو شيفرات إثبات المفهوم، أو أي عناصر قد تُساعد المهاجمين في تطوير استغلال للثغرة.

وأضاف: “نحن واضحون تماماً: هذه السياسة ليست دليلاً للمهاجمين، بل تنبيه مبكر للمجتمع حول وجود خلل قيد المعالجة”.

ورغم إدراك الفريق أن بعض الموردين قد يعتبرون هذه السياسة مصدر إزعاج أو جذباً غير مرغوب للانتباه، شدد ويليس على أن الشفافية تفوق في أهميتها أي انزعاج قد تُسببه هذه الإجراءات.

لم تُعلن غوغل عن مدة التجربة بشكل نهائي، لكنها أكدت أنها ستُراقب تأثير السياسة الجديدة عن كثب.

واختتم ويليس بالقول: “هدفنا النهائي هو بيئة أكثر أماناً لا تُعالج فيها الثغرات في مستودعات الشيفرة فقط، بل أيضاً في الأنظمة والخدمات التي يستخدمها الناس يومياً”.