中國安全業者違反保密協定　被微軟自MAPP名單中剔除

微軟於本周宣布，位於中國杭州的迪普科技（DPTech Technologies）違反了雙方的保密條款（non-disclosure agreement，NDA），因此已把迪普科技自微軟主動防護計畫（Microsoft Active Protections Program，MAPP）的合作名單中剔除。

微軟在2008年提出的主動防護計畫允許資安業者在微軟釋出安全公告前取得漏洞與修補細節，以讓資安業者可在漏洞公開前提前進行防護措施，雙方並簽訂了嚴格的保密條款。

不過，今年3月微軟修補視窗遠端桌面協定（Remote Desktop Protocol，RDP）漏洞時，幾天後就出現兩個針對該漏洞的概念性驗證程式，其中一個卻是微軟內部用來測試如何攻擊漏洞的程式，當時微軟證實了該程式屬於微軟與MAPP合作夥伴分享的版本，並展開調查。

雖然微軟並未公布迪普科技違反雙方協議的細節，但外界普遍相信迪普科技就是外洩該程式的兇手。總部設於中國杭州的迪普科技屬於網路安全產品供應商，主要提供防火牆、入侵防禦系統及路由器等安全硬體。

微軟安全回應中心專案經理Maarten Van Horenbeeck說明，微軟免費提供MAPP專案以讓資安業者能夠取得先機來對抗安全漏洞，微軟會在發表安全更新前提供資安業者有關該漏洞的詳細資訊以及概念性驗證檔案，該檔案本身並非惡意程式，但含有能夠觸發該漏洞的具體條件，合作夥伴可利用該檔案來測試他們所開發的惡意程式偵測機制。

Horenbeeck亦強調，微軟了解這些漏洞資訊被濫用的可能性，因此與合作夥伴簽署了嚴格的保密條款，當合作夥伴未能充份保護微軟的智慧財產權，微軟即會採取行動，其中之一為將該夥伴自MAPP名單中移除。（編譯/陳曉莉）