Industrie fordert mehr Verantwortung von Hackern

Wenn es um die Veröffentlichung von Sicherheitslücken geht, sind Softwarefirmen Hackern völlig ausgeliefert. Das stellt die Security-Chefin von Mozilla, Window Snyder, auf dem Hacker-Treffen Shmoocon in Washington D.C. fest. „Die Macht liegt in den Händen der Entwickler, die Software analysieren,“ so Snyder. „Sie bestimmen, wann sie eine Lücke veröffentlichen, und sie kontrollieren die Information, egal, ob ein Software-Anbieter rechtzeitig reagiert oder nicht.“

Die Veröffentlichung von Details über Sicherheitslücken ist seit Jahren ein heißes Eisen. Die Software-Industrie plädiert dafür, dass gefundene Bugs zunächst vertraulich bleiben und die betroffene Firma Zeit bekommt, den Fehler zu beseitigen, bevor ein Entwickler an die Öffentlichkeit geht. Dieses Vorgehen wird „verantwortungsvolle Offenlegung“ („responsible disclosure“) genannt. Immerhin kann eine zu frühe Veröffentlichung Kriminellen bei ihren Angriffen helfen und das Ansehen eines Herstellers schädigen.

Nicht jeder findet die Politik der „verantwortungsvollen Offenlegung“ gut. Dave Aitel vom Sicherheitsunternehmen Immunity meint, dass das eine Falle der Software-Hersteller sei. „‚Verantwortungsvolle Offenlegung“ ist ein Marketing-Ausdruck,“ sagt er. „Sie spielt Microsoft und anderen großen Herstellern in die Hände. Sie versuchen, den Prozess unter Kontrolle zu bekommen.“ Anstatt eine Sicherheitslücke dem Hersteller mitzuteilen, sollten Bug-Jäger diese Informationen lieber ihm geben. Immunity bezahlt Bug-Jäger für Details über Sicherheitslücken. Diese Informationen benutzt das Unternehmen für seine Produkte, darunter Tools für Penetrationstests, die in fremde Netzwerke eindringen können.

Chris Wysopal, CTO und Gründer des Sicherheitsunternehmens Veracode, bestreitet, dass die Hacker immer am Drücker sind. „Wir werden häufig angegriffen,“ sagt er. „Immer derjenige zu sein, der mit rechtlichen Schritten bedroht wird, ist kein Spaß.“ Wenn ein Unternehmen die Schale seines rechtlichen Zorns über einem Sicherheits-Analytiker ausschütte, dann sei das ein Beispiel für ein Unternehmen, das nicht wisse, was es tue, so Rohit Dhamankar, Manager of Security Research bei Tipping Point, einem Hersteller von Intrusion-Prevention-Systemen. „Es gibt geschickte Hersteller wie Microsoft oder Mozilla, und es gibt Hersteller, die keine Ahnung von guten Geschäftsabläufen haben.“

Zu guter Letzt würden Fehler nicht wirklich bereinigt, wenn sie nicht veröffentlicht würden, sagt Wysopal. „Es ist verantwortlich, wenn man den Hersteller benachrichtigt. Aber dann steht der Prozess, weil der Hersteller nichts unternimmt, bevor er nicht die Drohung hat, dass der Fehler öffentlich gemacht wird. Die Veröffentlichung ist der einzige Weg, damit Sicherheitslücken tatsächlich geschlossen werden.“