Security: China erschwert Veröffentlichung von Software-Bugs
Die chinesische Regierung hat neue Richtlinien für Sicherheitsforscher veröffentlicht(öffnet im neuen Fenster), die die bisherige Praxis im Umgang mit gefundenen Fehlern in Software sowie mit den Herstellern deutlich einschränkt. Das berichtet das Magazin The Record(öffnet im neuen Fenster) unter Verweis auf die Regeln der chinesischen Behörden.
Die neuen Regularien enthalten zwar Vorschriften, die auch von vielen Sicherheitsforschern gefordert werden, wie etwa das Verbot zum Handel von bisher unbekannten Sicherheitslücken.
Darüber hinaus müssen Anbieter über Möglichkeiten verfügen, um Meldungen über gefundenen Sicherheitslücken in den eigenen Produkten entgegenzunehmen. Außerdem werden Unternehmen ermutigt, etwa über Bug-Bounty-Programme Prämien für gemeldete Sicherheitslücken zu verteilen.
Meldung ans Ministerium
Vorgesehen ist aber auch, dass an Anbieter gemeldete Lücken innerhalb von zwei Tagen dem chinesische Ministerium für Industrie und Informationstechnik (MIIT) mitgeteilt werden müssen. Details zu den Lücken dürfen darüber hinaus auch nicht mit anderen ausländischen Stellen außer dem betroffenen Hersteller geteilt werden.
Eine Veröffentlichung der Details als sogenanntes Full Disclosure(öffnet im neuen Fenster) ist zudem nur nach Zustimmung durch das MIIT erlaubt und auch erst, nachdem der betroffene Hersteller einen angemessenen Zeitraum zum Erstellen der Patches hatte.
Befürchtungen von Sicherheitsforschern
Diese Kombination könnte dazu führen, dass der chinesische Staat eine riesige Sammlung von Sicherheitslücken aufbaut, die noch nicht behoben wurden. Derartige Sammlungen wiederum sind begehrte Ziele für Angriffe, wie etwa die bei der NSA entwendeten Informationen über Lücken und Exploits gezeigt haben.
Darüber hinaus befürchtet die Forscherin Katie Moussouris laut dem Bericht, dass Hersteller mit Bug-Bounty-Programmen, die Meldungen aus China entgegennehmen, davon ausgehen müssen, dass der chinesische Staat dafür künftig eine Art Backdoor besitzt. Denn durch die Berichtspflicht der Forscher erhält der Staat immer Zugriff auf die Lücken.
In den vergangenen Jahren haben chinesische Sicherheitsforscher immer wieder an den Bug-Bounty-Programmen etwa von Microsoft oder Google teilgenommen. Die chinesische Regierung könnte künftig aber diese Informationen aus den Programmen selbst nutzen, um eigene Exploits für noch nicht behobene Lücke zu erstellen.
Der chinesischen Regierung wird immer wieder vorgeworfen, aktiv Spionagesoftware einzusetzen. Exploits für noch nicht gepatchte Software könnten dazu beitragen, diese weiter zu verteilen.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.