Security: China erschwert Veröffentlichung von Software-Bugs

Die chinesische Regierung schränkt die Sicherheitsforschung deutlich ein. Sicherheitslücken könnten schlicht gehortet statt schnell behoben werden.

Artikel veröffentlicht am ,
Die chinesische Regierung hat neue Regeln zum Umgang mit Sicherheitslücken veröffentlicht.
Die chinesische Regierung hat neue Regeln zum Umgang mit Sicherheitslücken veröffentlicht. (Bild: Tingshu Wang/Reuters)

Die chinesische Regierung hat neue Richtlinien für Sicherheitsforscher veröffentlicht, die die bisherige Praxis im Umgang mit gefundenen Fehlern in Software sowie mit den Herstellern deutlich einschränkt. Das berichtet das Magazin The Record unter Verweis auf die Regeln der chinesischen Behörden.

Stellenmarkt
  1. (Senior) Consultant Microsoft Dynamics 365 (m/w/d)
    Sana Einkauf & Logistik GmbH, Ismaning
  2. SAP Enterprise Asset Management (EAM) Berater - Consultant Job (m/w/x)
    über duerenhoff GmbH, Raum Hamburg
Detailsuche

Die neuen Regularien enthalten zwar Vorschriften, die auch von vielen Sicherheitsforschern gefordert werden, wie etwa das Verbot zum Handel von bisher unbekannten Sicherheitslücken.

Darüber hinaus müssen Anbieter über Möglichkeiten verfügen, um Meldungen über gefundenen Sicherheitslücken in den eigenen Produkten entgegenzunehmen. Außerdem werden Unternehmen ermutigt, etwa über Bug-Bounty-Programme Prämien für gemeldete Sicherheitslücken zu verteilen.

Meldung ans Ministerium

Vorgesehen ist aber auch, dass an Anbieter gemeldete Lücken innerhalb von zwei Tagen dem chinesische Ministerium für Industrie und Informationstechnik (MIIT) mitgeteilt werden müssen. Details zu den Lücken dürfen darüber hinaus auch nicht mit anderen ausländischen Stellen außer dem betroffenen Hersteller geteilt werden.

Golem Akademie
  1. Microsoft 365 Security Workshop
    27.-29. Oktober 2021, Online
  2. Penetration Testing Fundamentals
    23.-24. September 2021, online
Weitere IT-Trainings

Eine Veröffentlichung der Details als sogenanntes Full Disclosure ist zudem nur nach Zustimmung durch das MIIT erlaubt und auch erst, nachdem der betroffene Hersteller einen angemessenen Zeitraum zum Erstellen der Patches hatte.

Befürchtungen von Sicherheitsforschern

Diese Kombination könnte dazu führen, dass der chinesische Staat eine riesige Sammlung von Sicherheitslücken aufbaut, die noch nicht behoben wurden. Derartige Sammlungen wiederum sind begehrte Ziele für Angriffe, wie etwa die bei der NSA entwendeten Informationen über Lücken und Exploits gezeigt haben.

Darüber hinaus befürchtet die Forscherin Katie Moussouris laut dem Bericht, dass Hersteller mit Bug-Bounty-Programmen, die Meldungen aus China entgegennehmen, davon ausgehen müssen, dass der chinesische Staat dafür künftig eine Art Backdoor besitzt. Denn durch die Berichtspflicht der Forscher erhält der Staat immer Zugriff auf die Lücken.

Hacking & Security: Das umfassende Handbuch. 2. aktualisierte Auflage des IT-Standardwerks (Deutsch) Gebundene Ausgabe

In den vergangenen Jahren haben chinesische Sicherheitsforscher immer wieder an den Bug-Bounty-Programmen etwa von Microsoft oder Google teilgenommen. Die chinesische Regierung könnte künftig aber diese Informationen aus den Programmen selbst nutzen, um eigene Exploits für noch nicht behobene Lücke zu erstellen.

Der chinesischen Regierung wird immer wieder vorgeworfen, aktiv Spionagesoftware einzusetzen. Exploits für noch nicht gepatchte Software könnten dazu beitragen, diese weiter zu verteilen.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Connect-App
CDU zeigt offenbar Hackerin nach Melden von Lücken an

Nach dem Auffinden einer Lücke in einer CDU-App zeigt die Partei nun die Finderin an. Der CCC will deshalb keine Lücken mehr an die CDU melden.

Connect-App: CDU zeigt offenbar Hackerin nach Melden von Lücken an
Artikel
  1. Ladestationen: Tesla erhöht Supercharger-Preise deutlich
    Ladestationen
    Tesla erhöht Supercharger-Preise deutlich

    Die Nutzung der Tesla-Supercharger kostet ab sofort mehr. Die Preise für das Laden liegen nun bei 0,40 Euro pro kWh - spürbar höher als Anfang 2021.

  2. Zetta: Russisches E-Auto mit originellem Antrieb soll 2021 kommen
    Zetta
    Russisches E-Auto mit originellem Antrieb soll 2021 kommen

    Die Serienproduktion des ersten russischen Elektroautos Zetta soll bald beginnen. Der Kleinwagen verfügt als Besonderheit über Radnabenmotoren.

  3. Victorian Big Battery: Tesla-Speicher brannte vier Tage lang
    Victorian Big Battery
    Tesla-Speicher brannte vier Tage lang

    Viel Aufwand war nötig, um das brennende Akku-Modul zu löschen.

cubei 15. Jul 2021 / Themenstart

Möglich war es doch schon immer Sicherheitslücken auszunutzen, die Änderung ist doch...

Kommentieren



Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Schnäppchen • Speicherwoche bei Saturn Samsung • Robas Lund DX Racer Gaming-Stuhl 153,11€ • HyperX Cloud II Gaming-Headset 59€ • Bosch Professional Werkzeuge und Messtechnik • Samsung Galaxy Vorbesteller-Aktion • Speicherwoche bei Media Markt • 60 Jahre Saturn-Aktion [Werbung]
    •  /