Marktplatz für Zero-Day-Bugs expandiert

So hatte WabiSabiLabi mit dem Gechäftsmodell, einen Marktplatz für ungepatchte Sicherheitslecks zu bieten, für Wirbel und diverse Grundsatzdebatten gesorgt. Nachdem sich nun der Staub gelegt hat, soll, mit rund 160.000 Besuchern, die mehr als 150 Lecks einstellten, das Portal nun ausgeweitet werden, um weitere Nutzer auf die Seite zu locken.

Man wolle verschiedene Dienste und Services, die sich aus dem Kerngeschäft ableiten, anbieten. “Wir planen einen redaktionellen Teil und Sicherheits-Dienstleistungen”, so Roberto Preatoni, Strategic Director von WabiSabiLabi. “Darin ist auch eine neues System für Intrusion Detection/Prevention enthalten, das auf Zero-Day-Signaturen besteht.” Daneben habe das Portal mit verschiedenen Partnern aus der Sicherheitsindustrie Verträge geschlossen, die in den nächsten Wochen öffentlich gemacht werden sollen.

Nicht alle dürften die Euphorie WabiSabiLabis über den Erfolg der Seite teilen. Kritiker vergleichen den Dienst mit einem Flohmarkt, der den Bereich der akademischen IT-Sicherheitsforschung vollständig kommerzialisiert, mit unabsehbaren Folgen und vielen Möglichkeiten zum Missbrauch.

“WabiSabiLabi fordert die Leute ja nicht auf, Exploits und Verwundbarkeiten zu verkaufen”, entgegnet Preatoni solchen Stimmen. Statt dessen biete der Dienst Sicherheitsforschern eben die Möglichkeit, ihre Entdeckungen für eine gerechte Entlohnung bereit zu stellen. Schließlich würden hier ja keine Exploits gehandelt, sondern die Gewinner einer Auktion bekommen umfangreiche Sicherheitsforschungen, möglicherweise zusammen mit einem Proof-of-Concept-Code, der die Verwundbarkeit auch belegen soll.  ´

So seien inzwischen auch 40 Lecks zurückgewiesen worden, weil sie über illegale Praktiken entdeckt wurden. Auch Lecks die in handgestrickter Software oder Hardware auftauchen, werden von den Betreibern des Portals abgewiesen. Und somit ist Windows die größte Quelle für Verwundbarkeiten. 51 Lecks, für die zwischen 100 Euro und 15.000 Euro bezahlt wurden, beziehen sich auf das Microsoft-Betriebssystem.

Auch nicht alle Käufer kommen auf dem Marktplatz zum Zuge. So müssen sich Interessenten registrieren und ihre Identität beweisen. Und auch hier habe das Portal laut eigenen Angaben bereits mögliche Käufer ausgemustert. Viele Interessenten springen jedoch auch von selbst ab, wenn Lecks von anderen Forschern entdeckt und veröffentlicht werden. Dann nämlich ist das Angebot auf WabiSabiLabi wertlos.