Cert macht Druck auf Software-Produzenten

Das CERT (Carnegie Mellon University’s Computer Emergency Response Team) hat sich selbst eine neue Sicherheitspolitik auferlegt. Das Krisenteam wird Herstellern von Software nicht mehr unbegrenzt Zeit geben, um ein Sicherheitsloch zu stopfen. Vielmehr wird man ein bekanntes Problem mit einem Programm nach 45 Tagen veröffentlichen, egal ob die Programmierer einen Patch gefertigt haben oder nicht. CERT wird den Usern auch weiterhin Ratschläge zu den aktuellen Sicherheitsloch geben, aber wie gewohnt keinerlei Code veröffentlichen.

CERT hofft durch diese Maßnahme beruhigend auf die Sicherheits-Branche einzuwirken. Dort versprechen sich manche Firmen durch möglichst spektakuläre Warnungen Publicity. „Wir wollen dabei helfen, einen Ethos für die Veröffentlichung von Sicherheitsinformationen aufzubauen“, sagte Shawn Hernan, der Leiter des Zentrums für den Umgang mit Warnungen bei CERT. Deshalb befindet sich das Institut auch in Gesprächen mit Sicherheitsfirmen. CERT verspricht, den Namen des Entdeckers in der entsprechenden Warnung mit zu veröffentlichen. „Wir wollen der Community beibringen, sich vernünftiger zu verhalten“, sagte Hernan.