西門子發(fā)布中文產(chǎn)品漏洞提示 較國外晚13天

　　近日，記者對西門子工業(yè)控制系統(tǒng)存在漏洞的報道引發(fā)了廣泛關(guān)注，西門子（中國）會對中國使用者提供一些安全警示或者其他相關(guān)措施嗎？在記者發(fā)出問題數(shù)天后，西門子6月9日終于給出了回復(fù)。

　　西門子（中國）媒體負(fù)責(zé)人段偉表示，西門子存在漏洞的相關(guān)產(chǎn)品說明的中文版本已經(jīng)放在西門子（中國）工業(yè)自動化與驅(qū)動計劃網(wǎng)站上，西門子很多使用者都會瀏覽這個網(wǎng)站，應(yīng)該可以看到相關(guān)信息。

　　據(jù)西門子 （中國）官方網(wǎng)站資料，漏洞產(chǎn)品S7-1200的固件更新將在6月提供。固件更新將會提供彌補措施，此固件針對重放攻擊加強了保護措施，同時增強了S7-1200在面對上述拒絕服務(wù)攻擊時的穩(wěn)定性。

　　不過記者發(fā)現(xiàn)，此信息的發(fā)布比其英文版本晚了13天。

西門子稱至今未接到任何質(zhì)詢

　　6月1日，記者給西門子（中國）發(fā)去了采訪提綱，詢問關(guān)于是否存在漏洞、西門子會采取何種措施、是否給中國使用者提示等。在次日得到的回復(fù)中，西門子（中國）對于會否給消費者安全提示等問題并未給出正面回復(fù)。

　　其后，記者再次致電西門子（中國）。昨天晚上記者接到西門子（中國）的回復(fù)。

　　西門子（中國）在回復(fù)中表示，到目前為止，他們還沒有接到任何客戶就此問題的質(zhì)詢。網(wǎng)絡(luò)攻擊只有在下述非常極端的條件下才會發(fā)生：即入侵者必須在工廠現(xiàn)場或者可以任意訪問生產(chǎn)網(wǎng)絡(luò)。即便受到網(wǎng)絡(luò)攻擊，CPUS7-1200的反應(yīng)將是切換到停機/故障狀態(tài)，并將自動化過程置于安全模式。

　　段偉稱，西門子（中國）目前沒有接到任何客戶對此的質(zhì)詢和詢問。在記者的追問下，段偉還表示，如果確實有必要，或許將對中國使用者進行提示。

　　在接到西門子的官方回復(fù)之前，一個工業(yè)控制自動化培訓(xùn)機構(gòu)給記者提供了一位培訓(xùn)工程師的電話，記者以潛在消費者的名義咨詢這位自動化工程師，工程師稱，已經(jīng)接到不少咨詢電話。如果不和以太網(wǎng)連接，產(chǎn)品應(yīng)該沒有什么問題。

晚了13天的說明

　　西門子（中國）稱已經(jīng)將相關(guān)材料的中文版本放到官方網(wǎng)站上，客戶可以通過他們的網(wǎng)站看到漏洞的相關(guān)內(nèi)容。

　　不過，記者發(fā)現(xiàn)，西門子總公司發(fā)布對此事件的說明時間為5月26日。在6月2日西門子（中國）給記者的回復(fù)中，其媒體負(fù)責(zé)人還表示沒有中文版本。西門子（中國）的官網(wǎng)上中文版本發(fā)布時間標(biāo)注為6月8日，比國外晚了13天。

　　對于產(chǎn)品存在漏洞，西門子卻遲遲不予以回復(fù)，安天實驗室的技術(shù)發(fā)言人苗得雨表示非常不理解。他表示，一旦出現(xiàn)漏洞，微軟等公司都會采取各種措施通知使用者。比如通過專業(yè)的媒體、訂閱郵件通知，在每個月的特定時間還專門召開產(chǎn)品漏洞說明會。

　　苗得雨還認(rèn)為，目前西門子（中國）提供的是在線解決方案，但是工業(yè)系統(tǒng)很少聯(lián)網(wǎng)，而且西門子的產(chǎn)品中還有一部分是沒法解決的，例如樓宇、船舶設(shè)備，這部分設(shè)備很難實現(xiàn)在線升級。

　　李建成律師表示，購買西門子的產(chǎn)品，雙方建立了買賣關(guān)系，應(yīng)該按照《合同法》的有關(guān)規(guī)定行事。按照《合同法》的規(guī)定，購買的產(chǎn)品必須是安全無瑕的，除非是因為技術(shù)無法實現(xiàn)等客觀上可以免除的原因，否則必須及時通知消費者。否則的話，中國企業(yè)一旦因此受到損失，有權(quán)利向西門子索取賠償。