Mailing-Liste Full Disclosure kehrt zurück

Die anonyme Security-Mailing-Liste Full Disclosure wird von einem neuen Administrator fortgeführt. Nutzer müssen sich für den Nachfolger allerdings neu eintragen, wie Gordon Lyon schreibt, der auch schon eine Reihe von Nmap-Listen verwaltet.

Vergangene Woche hatte der langjährige Administrator von Full Disclosure, John Cartwright, hingeworfen. Er könne diesen Kampf nicht fortsetzen, schrieb er. Der Betrieb eines offenen Forums werde aufgrund der Rechtslage immer anspruchsvoller.

„Es gibt keine Ehre unter Hackern mehr. Es gibt keine echte Gemeinschaft. Es gibt herzlich wenig Kenntnisse“, schrieb Cartwright. „Das deutet alles auf zukünftige Entwicklungen voraus und zeigt den traurigen Zustand eines Wirtschaftszweigs, der nie einer hätte werden sollen. Ich setze diesen Dienst permanent aus. Danke fürs Mitspielen.“

Wie jetzt bekannt wurde, bot Lyon daraufhin seine Hilfe an. Cartwright wollte zwar keine Hilfe, gab aber seine Zustimmung für eine Fortsetzung.

Lyon schreibt nun bescheiden: „Wenn ich das so lang wie John durchziehen kann, und mit wenigstens einem Teil seines Geschicks, werde ich es als Erfolg ansehen. Zunächst stelle ich ein Freiwilligenteam mit Moderatoren aus den aktiven Listenmitgliedern zusammen, denn dies muss von und für die Community betrieben werden!“

Er kündigte außerdem an, die neue Full-Disclosure-Liste werde vorsichtig moderiert werden. Eine Mailing-Liste sei ein weit besseres Medium für die Offenlegung von Sicherheitslücken als Alternativen wie Social Media. „Manche glauben, dass Full Disclosure nicht mehr benötigt wird, oder gar, dass Mailing-Listen als Konzept überflüssig sind. Sie sagen, Forscher sollten einfach Links zu Advisories auf Pastebin oder Firmenseiten tweeten. Ich bin nicht dieser Meinung. Mailing-Listen schaffen ein dauerhaftes Archiv, und ihre dezentrale Anlage erschwert eine Zensur ebenso wie stillschweigende spätere Änderungen.“

Full Disclosure war im Jahr 2002 gestartet, um anonyme Berichte über Sicherheitsprobleme zu ermöglichen, ohne dass man vorher unbedingt mit dem betroffenen Unternehmen gesprochen hatte. Das Projekt war damals weit umstrittener als heute, auch wenn Software-Anbieter weiterhin am liebsten direkt kontaktiert werden, bevor die Öffentlichkeit von einer Lücke erfährt.

[mit Material von Chris Duckett, ZDNet.com]

Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.