Bugs und Software: Gerangel um Veröffentlichungs-Richtlinien

Die IT-Branche ringt weiterhin um einheitliche Richtlinien zur Veröffentlichung von Informationen über Sicherheitsgefahren von fehlerhafter Software. Die ‘Organization for Internet Safety’ (OIS) hat auf der ‘Black Hat’-Konferenz in Las Vegas ihre Vorschläge vorgestellt und musste sich dabei gegen Kritik von mehreren Seiten wehren.
Bisher verfahren die Forschungs- und Analyseeinrichtungen weltweit nach sehr unterschiedlichen Methoden. Während sich einige darauf eingelassen haben, dem Hersteller eine gewisse Zeitspanne für die Herstellung von Patches einzuräumen, bevor sie mit ihren Informationen an die Öffentlichkeit gehen, sehen andere in einer sofortigen Verbreitung ihrer Erkenntnisse den größeren Vorteil.

Die OIS schlägt nun vor, nach der Information des Herstellers mindestens 30 Tage vergehen zu lassen, bevor man mit den Hinweisen auf ein Sicherheitsleck nach draußen geht. Noch einmal 30 Tage sollten nach Möglichkeit die detaillierteren Informationen über die genaue Beschaffenheit und mögliche Exploits unter dem Deckel gehalten werden, heißt es in den Richtlinien. Mehr Zeit für Software-Hersteller und Anwender bedeute ja nicht, dass man die Probleme dann weniger ernst nehmen wolle, so Chris Wysopal von der OIS.

Er gibt zu bedenken, dass die Hersteller ihrer Verantwortung heute viel besser nachkämen als noch vor sieben Jahren. Die sofortige Veröffentlichung, mit der man den Hersteller unter Druck setzen könne, sei daher nicht mehr notwendig. “Die Welt hat sich wirklich verändert. Wir müssen einfach sehen, dass eine schnelle Veröffentlichung heute mehr schadet als dass sie nutzen kann”, so Wysopal weiter.

Kritiker meinen allerdings, damit würde man allein die Interessen der Sicherheits-Dienstleister wie ISS oder Cert Coordination Center bedienen. Sie verdienen daran, Informationen über IT-Gefährdungen ihren Kunden oder Mitgliedern bevorzugt zur Verfügung zu stellen. Wysopal sieht diesen Zusammenhang auch, gibt aber zu Bedenken, dass die Vorteile von respektierten Richtlinien die Nachteile überwiegen würden. Der OIS gehören unter anderem Symantec, Network Associates und Oracle an.