一边封号、一边起诉：微软对漏洞披露者的强硬手段引发争议

5月31日消息，微软最近因为对零日漏洞的处理方式，在安全圈里引发了一波不小的争议。事情起因是一位名叫Nightmare Eclipse的用户公开和微软翻脸，直接发布了概念验证漏洞利用代码。从发帖内容来看，这个人很可能是心怀不满的前员工。不过，真正让安全研究员Kevin Beaumont在意的，倒不是这位用户的激烈举动，而是微软随后的一系列应对操作。

微软暗示计划对Nightmare Eclipse提起刑事诉讼，理由是他在披露漏洞时没有遵循“适当的协调程序”。与此同时，微软还封禁了该用户在GitHub、GitLab以及微软安全响应中心的账户。Beaumont对此一针见血：“账户都被封了，以后还怎么‘负责任地’报告漏洞呢？”

更让Beaumont担忧的是，微软自己其实也做过类似的事——他们曾招聘过一些公开发布过零日漏洞利用程序的人，其中甚至有人有过犯罪记录。此外，微软还会从漏洞利用程序贩子那里直接购买漏洞利用程序。这种“只许州官放火”的做法，无疑让微软在漏洞披露问题上的公信力大打折扣。