Streit um die Veröffentlichung von Sicherheitslücken

“Die Macht liegt in den Händen der Entwickler, die Software analysieren,” stellte nüchtern Window Snyder fest, Security-Chefin bei Mozilla, während einer Podiumsdiskussion auf Hacker-Treffen ‘ShmooCon’ in Washington. “Sie bestimmen, wann sie eine Lücke veröffentlichen, und sie kontrollieren die Information, egal, ob ein Software-Anbieter rechtzeitig reagiert oder nicht.”

Die Veröffentlichung von Details über Sicherheitslücken ist seit Jahren ein heißes Eisen. Die Software-Industrie plädiert dafür, dass gefundene Bugs zunächst vertraulich bleiben und die betroffene Firma Zeit bekommt, den Fehler zu beseitigen, bevor ein Entwickler an die Öffentlichkeit geht. Dieses Vorgehen wird “verantwortungsvolle Offenlegung” (“responsible disclosure”) genannt. Immerhin kann eine zu frühe Veröffentlichung Kriminellen bei ihren Angriffen helfen und das Ansehen eines Herstellers schädigen.

Nicht jeder findet die Politik der “verantwortungsvollen Offenlegung” gut. Dave Aitel vom Sicherheitsunternehmen Immunity meint, dass das eine Falle der Software-Hersteller sein kann. “‘Verantwortungsvolle Offenlegung’ ist ein Marketing-Ausdruck,” sagte er. “Sie spielt Microsoft und anderen großen Herstellern in die Hände. Sie versuchen den Prozess unter Kontrolle zu bekommen.”

Anstatt eine Sicherheitslücke dem Hersteller mitzuteilen, sollten Bug-Jäger diese Informationen lieber ihm geben, meint Aitel nicht ganz uneigennützig. Immunity bezahlt Bug-Jäger für Details über Sicherheitslücken. Diese Informationen benutzt das Unternehmen für seine Produkte, darunter Tools für Penetration-Tests, die in fremde Netzwerke eindringen können.

Allerdings ist diese Praxis bei Herstellern alles andere als beliebt. Chris Wysopal, CTO und Gründer des Sicherheitsunternehmens Veracode, bestritt deswegen, dass Hacker oder Finder von Lücken immer am längeren Hebel sind. “Wir werden häufig angegriffen,” sagte er. “Immer derjenige zu sein, der mit rechtlichen Schritten bedroht wird, ist kein Spaß.”

Wenn ein Unternehmen die Schale seines rechtlichen Zorns über einem Sicherheits-Analytiker ausschütte, dann sei das ein Beispiel für ein Unternehmen, das nicht wisse, was es tue, so Rohit Dhamankar, Manager of Security Research bei Tipping Point, einem Hersteller von Intrusion-Prevention-Systemen. “Es gibt geschickte Hersteller wie Microsoft oder Mozilla, und es gibt Hersteller, die keine Ahnung von guten Geschäftsabläufen haben,” meinte Dhamankar.

Zu guter Letzt würden Fehler nicht wirklich bereinigt, wenn sie nicht veröffentlicht würden, meinte Wysopal. “Es ist verantwortungsbewusst, wenn man den Hersteller benachrichtigt. Aber dann kommt der Ablauf zum Stehen, weil der Hersteller nichts unternimmt, bevor er nicht die Drohung hat, dass der Fehler öffentlich gemacht wird. Die Veröffentlichung ist der einzige Weg, damit Sicherheitslücken tatsächlich geschlossen werden.”