Inszenierung von Sicherheitslücken: Das lange Warten auf Badlock
IT-Sicherheitsforscher: Komm, wir gehen!
Administrator: Wir können nicht.
IT-Sicherheitsforscher: Warum nicht?
Administrator: Wir warten auf Badlock.
IT-Sicherheitsforscher: Ah!
(Frei nach Samuel Beckett(öffnet im neuen Fenster))
Die unglaubliche Spannung rund um den Badlock-Bug hat sich endlich gelöst. Auf der seit mehreren Wochen existierenden Webseite(öffnet im neuen Fenster) gibt es jetzt mehr Informationen als nur ein schönes Logo.
Die wichtigsten: Ja, es gibt eine Sicherheitslücke in Samba. Und: Ja, sie sollte gepatcht(öffnet im neuen Fenster) werden. KTHXBYE.
Warum man darauf so lange warten musste? Offenbar weil man sich das Vorgehen bei Heartbleed zum Vorbild genommen hat. Seitdem scheinen alle Sicherheitsforscher und Hacker einen Crashkurs in Sachen Design und Marketing belegt zu haben.
Bei Heartbleed haben der Name und das Logo dazu beigetragen, eine kritische Sicherheitslücke in die Öffentlichkeit zu bringen. Große Medien haben darüber berichtet und die Patchrate war sehr hoch. Tatsächlich war Heartbleed eine Sicherheitslücke, die fast jeden Internetnutzer betraf. In den meisten anderen Fällen sind aber weit weniger Personen betroffen. Zudem hat sich die Wahrnehmung der Bedeutung von IT-Sicherheit in den vergangenen Jahren verbessert – auch wenn es immer noch Entscheider gibt, die darauf wenig Wert legen.
Immer ist die Gefahr groß
IT-Sicherheit wird wichtiger. Und weil es um mehr geht, wird auch der Kampf um Aufmerksamkeit verbissener geführt. Als Journalisten bekommen wir täglich unzählige Pressemeldungen, auch von IT-Sicherheitsfirmen. Immer ist die Gefahr groß. Wenn man aber genau hinsieht, ist "die größte Bedrohung bislang" oft doch nur ein gewöhnlicher Bankentrojaner für Android, der in Deutschland nur wenig verbreitet ist, weil er über alternative Appstores installiert werden muss. Jeden Tag müssen wir entscheiden: Sicherheitslücke – oder doch eher Marketing?
Es ist bedauerlich, wenn unabhängige IT-Sicherheitsforscher jetzt in dramatischem Ton Verlautbarungen vorbereiten, als seien sie eine Marketingagentur. Eine Sicherheitslücke, die von Microsoft im Rahmen des Patchday geschlossen wird, wird ihre verdiente Aufmerksamkeit bekommen, auch wenn sie nicht drei Wochen vorher angekündigt wird.
Bereits im Jahr 2011 schrieben die Wissenschaftler Jerry Brito und Tate Watkins ihr Paper(öffnet im neuen Fenster) "Loving the Cyber Bomb? The Dangers of Threat Inflation in Cyberspace" – zu Deutsch "Liebe die Cyber-Bombe – Die Gefahren von übertriebener Gefährlichkeitsdastellung im Cyberspace". Sie beschwerten sich vor allem über IT-Sicherheitsfirmen, die über öffentliche Aufträge Gelder abgreifen wollen. Aber es geht nicht immer um Geld, sondern eben oft auch um öffentliche Aufmerksamkeit. Und dieser Kampf ist längst bei den Hackern angekommen.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.