Google Project Zero: Hersteller schließen kritische Sicherheitslücken schneller

Viele Hersteller nehmen die Meldungen von Google inzwischen ernster und patchen schneller. Bei Browsern bleibt Apple das Schlusslicht.

Artikel veröffentlicht am 15. Februar 2022, 13:18 Uhr, Sebastian Grüner/Ulrich Bantle/Linux Magazin

Google Project Zero hat erstmals die Zahlen seiner Arbeit ausgewertet. (Bild: Justin Sullivan/Getty Images)

Google hat die Daten aus seinem Project Zero ausgewertet und überprüft, wie lange Anbieter brauchen, um ihnen gemeldete Sicherheitslücken zu schließen.

Das überwiegend positive Fazit: Die Anbieter reagieren schneller als noch vor einigen Jahren. Vor allem bei den meist kritischen Lücken in Webbrowsern lässt sich aber Apple mit der Webkit-Engine vergleichsweise viel Zeit.

Das Project Zero ist eine Gruppe von Google-Sicherheitsforschern, die Software auf sogenannte Zero-Day-Schwachstellen untersuchen. Das Team hat eine Auswertung der Zahlen zum Jahr 2021 veröffentlicht. Demnach hat sich die Reaktionszeit von Herstellern von der Meldung bis zum Schließen einer Lücke entscheidend verbessert. Waren es vor drei Jahren im Schnitt noch 80 Tage, belief sich die Zeit im Jahr 2021 auf durchschnittlich 52 Tage.

Zusätzlich dazu ist auch die Zahl der Anbieter gesunken, die die Frist nicht einhalten. Google gewährt auch noch 14 Tage Fristverlängerung nach den üblichen 90 Tagen bis zur Veröffentlichung der vom Project Zero gefundenen Sicherheitslücken. Im Jahr 2021 wurde den Angaben zufolge nur bei einem Fehler die Frist überschritten. Bei 14 Prozent der Fehler wurde die Fristverlängerung in Anspruch genommen.

Einige Lücken nicht oder erst spät behoben

Project Zero arbeitet inzwischen schon fast zehn Jahre an der Aufdeckung von Sicherheitslücken. Zwischen 2019 und 2021 wurden 376 Probleme an die Anbieter gemeldet, mit der Standardfrist von 90 Tagen zur Behebung. 351 dieser Fehler wurden behoben, während 14 Prozent von den Herstellern als "nicht behoben" markiert wurden.

Elf andere Fehler wurden noch nicht behoben, wobei zum Zeitpunkt der Erstellung des Berichts acht Fehler die Frist zur Behebung überschritten hatten; die restlichen drei Fehler bewegten sich noch innerhalb der Frist zur Behebung.

Die meisten Schwachstellen konzentrieren sich auf wenige Hersteller: 96 Fehler seien Microsoft gemeldet worden, 85 an Apple und 60 an Google, heißt es im Beitrag. Für einen besseren Einblick, wie lang die Behebung eines gemeldeten Fehlers benötigt, blickt das Team auf Browser-Engines, die einerseits von dem Team selbst untersucht werden, andererseits dank des Open-Source-Codes diesen Einblick aber auch tatsächlich erlauben.

In Chrome vergehen dabei im Schnitt nur 5 Tage bis zu einer öffentlichen Behebung. Bei Firefox brauche es zwar im Schnitt 38 Tage, das Team von Mozilla schaffe es aber schneller als das Chrome-Team, diese Fehlerbehebungen auch in Builds für Nutzer zu veröffentlichen und auszuspielen, heißt es in dem Bericht.

Apple benötige für Webkit dagegen im Schnitt 78 Tage. Darüber hinaus vergehe bei Apple viel Zeit zwischen einer öffentlichen Behebung im Quellcode und der Verteilung als Update an Nutzer. Das lasse Angreifern viele Möglichkeiten.

Wie schon mit der Veröffentlichung der Lücken im Project Zero erhofft sich das Team auch mit der öffentlichen Auswertung einen positiven Einfluss auf gesamte IT-Industrie. Dank einer größeren Transparenz in Daten wie der Zeit zum Beheben von Fehlern oder der Zeit zum Ausspielen von Updates hoffe Project Zero, mehr über die damit verbundenen Probleme zu erfahren und so das Internet zu einem sichereren Ort für alle zu machen, erklärt das Team.