Google hat neue Regeln für die Offenlegung von Schwachstellen angekündigt, die von Mitarbeitern seines Project Zero entdeckt wurden. Künftig soll die Frist von 90 Tagen generell gelten, auch falls ein Hersteller schon deutlich früher einen Patch bereitstellt.
Künftig wird Google mit einer Veröffentlichung von Details immer 90 Tage warten, egal wann ein Patch bereitgestellt wurde. Google will so einen Anreiz schaffen, dass Hersteller nicht nur schneller ihre Fixes entwickeln, sondern auch qualitativ hochwertige Patches. Außerdem soll Nutzer so mehr Zeit gegeben werden, verfügbare Updates zu installieren.
„Zu oft haben wir gesehen, wie Hersteller gemeldete Schwachstellen gepatcht haben, indem sie ‚über die Risse streichen‘ und keine Varianten in Betracht ziehen oder die Grundursache einer Schwachstelle beseitigen“, erklärte Tim Willis, Manager von Project Zero. „Eine Sorge hierbei ist, dass unser Ziel der ’schnelleren Patch-Entwicklung‘ dieses Problem verschlimmern könnte, so dass es für Angreifer viel zu einfach ist, ihre Exploits wiederzubeleben und weiterhin Benutzer mit wenig Aufwand anzugreifen.“
Zudem verbessere sich die Sicherheit beim Endnutzer nicht, wenn ein Fehler entdeckt oder behoben werden. „Sie verbessert sich erst, wenn der Nutzer auf den Fehler aufmerksam wird und sein Gerät patcht“, ergänzte Willis.
Neu ist auch, dass die Fehlerberichte von Project Zero künftig automatisch an Tag 90 der Frist veröffentlicht werden. Zuvor nahm sich Google zwar schon dieses Recht heraus, für den Termin der Veröffentlichung war jedoch der jeweilige Google-Mitarbeiter verantwortlich.
Grundsätzlich stuft Google die Regeln seines Project Zero als Erfolg ein. „Zu der Zeit, als das Project Zero 2014 startete, vergingen bei einigen Problemen mehr als sechs Monate bis zu einem Update. Schauen wir aufs Jahr 2019 und 97,7 Prozent aller Fehler werden innerhalb der Frist behoben“, so Willis weiter. Darüber hinaus gebe es immer noch die mögliche Firstverlängerung von bis zu 14 Tagen.
Eine weitere Firstverlängerung schließt Google eigentlich aus. In zwei Fällen wich das Unternehmen allerdings bereits von dieser Regel ab: 2016 bei einem schwerwiegenden Bug in iOS und 2018 bei den CPU-Sicherheitslücken Meltdown und Spectre.
In diesem Webinar stellen wir Ihnen SkySQL vor, erläutern die Architektur und gehen auf die Unterschiede zu anderen Systemen wie Amazon RDS ein. Darüber hinaus erhalten Sie einen Einblick in die Produkt-Roadmap, eine Live-Demo und erfahren, wie Sie SkySQL innerhalb von nur wenigen Minuten in Betrieb nehmen können.
OutSystems-Studie: 62 Prozent der Befragten haben Sicherheits- und Governance-Bedenken bei Softwareentwicklung mit KI-Unterstützung.
Der Cybersecurity Report von Hornetsecurity stuft 2,3 Prozent der Inhalte gar als bösartig ein. Die…
Die Hintermänner haben es auf Zugangsdaten zu Microsoft Azure abgesehen. Die Kampagne ist bis mindestens…
Cloud-Plattform für elektronische Beschaffungsprozesse mit automatisierter Abwicklung elektronischer Rechnungen.
Mindestens eine Schwachstelle erlaubt eine Remotecodeausführung. Dem Entdecker zahlt Google eine besonders hohe Belohnung von…
Nur rund die Hälfte schaltet während der Feiertage komplett vom Job ab. Die anderen sind…
