Security: China erschwert Veröffentlichung von Software-Bugs

Die chinesische Regierung schränkt die Sicherheitsforschung deutlich ein. Sicherheitslücken könnten schlicht gehortet statt schnell behoben werden.

Artikel veröffentlicht am ,
Die chinesische Regierung hat neue Regeln zum Umgang mit Sicherheitslücken veröffentlicht.
Die chinesische Regierung hat neue Regeln zum Umgang mit Sicherheitslücken veröffentlicht. (Bild: Tingshu Wang/Reuters)

Die chinesische Regierung hat neue Richtlinien für Sicherheitsforscher veröffentlicht, die die bisherige Praxis im Umgang mit gefundenen Fehlern in Software sowie mit den Herstellern deutlich einschränkt. Das berichtet das Magazin The Record unter Verweis auf die Regeln der chinesischen Behörden.

Stellenmarkt
  1. Full Stack Web Developer (w/m/d)
    Personalwerk GmbH, Karben
  2. Systemingenieur Datenintegration (m/w/d)
    Atruvia AG, Karlsruhe
Detailsuche

Die neuen Regularien enthalten zwar Vorschriften, die auch von vielen Sicherheitsforschern gefordert werden, wie etwa das Verbot zum Handel von bisher unbekannten Sicherheitslücken.

Darüber hinaus müssen Anbieter über Möglichkeiten verfügen, um Meldungen über gefundenen Sicherheitslücken in den eigenen Produkten entgegenzunehmen. Außerdem werden Unternehmen ermutigt, etwa über Bug-Bounty-Programme Prämien für gemeldete Sicherheitslücken zu verteilen.

Meldung ans Ministerium

Vorgesehen ist aber auch, dass an Anbieter gemeldete Lücken innerhalb von zwei Tagen dem chinesische Ministerium für Industrie und Informationstechnik (MIIT) mitgeteilt werden müssen. Details zu den Lücken dürfen darüber hinaus auch nicht mit anderen ausländischen Stellen außer dem betroffenen Hersteller geteilt werden.

Golem Karrierewelt
  1. Elastic Stack Fundamentals – Elasticsearch, Logstash, Kibana, Beats: virtueller Drei-Tage-Workshop
    26.-28.09.2022, Virtuell
  2. Java EE 8 Komplettkurs: virtueller Fünf-Tage-Workshop
    11.-15.07.2022, virtuell
Weitere IT-Trainings

Eine Veröffentlichung der Details als sogenanntes Full Disclosure ist zudem nur nach Zustimmung durch das MIIT erlaubt und auch erst, nachdem der betroffene Hersteller einen angemessenen Zeitraum zum Erstellen der Patches hatte.

Befürchtungen von Sicherheitsforschern

Diese Kombination könnte dazu führen, dass der chinesische Staat eine riesige Sammlung von Sicherheitslücken aufbaut, die noch nicht behoben wurden. Derartige Sammlungen wiederum sind begehrte Ziele für Angriffe, wie etwa die bei der NSA entwendeten Informationen über Lücken und Exploits gezeigt haben.

Darüber hinaus befürchtet die Forscherin Katie Moussouris laut dem Bericht, dass Hersteller mit Bug-Bounty-Programmen, die Meldungen aus China entgegennehmen, davon ausgehen müssen, dass der chinesische Staat dafür künftig eine Art Backdoor besitzt. Denn durch die Berichtspflicht der Forscher erhält der Staat immer Zugriff auf die Lücken.

Hacking & Security: Das umfassende Handbuch. 2. aktualisierte Auflage des IT-Standardwerks (Deutsch) Gebundene Ausgabe

In den vergangenen Jahren haben chinesische Sicherheitsforscher immer wieder an den Bug-Bounty-Programmen etwa von Microsoft oder Google teilgenommen. Die chinesische Regierung könnte künftig aber diese Informationen aus den Programmen selbst nutzen, um eigene Exploits für noch nicht behobene Lücke zu erstellen.

Der chinesischen Regierung wird immer wieder vorgeworfen, aktiv Spionagesoftware einzusetzen. Exploits für noch nicht gepatchte Software könnten dazu beitragen, diese weiter zu verteilen.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
US-Streaming
Abonnenten immer unzufriedener mit Netflix

Wenn Netflix-Abonnenten das Abo kündigen, wird vor allem der hohe Preis sowie ein schlechtes Preis-Leistungs-Verhältnis als Grund dafür genannt.

US-Streaming: Abonnenten immer unzufriedener mit Netflix
Artikel
  1. Elektro-SUV: Drako Dragon soll Teslas Model X Plaid deutlich übertreffen
    Elektro-SUV
    Drako Dragon soll Teslas Model X Plaid deutlich übertreffen

    Das Elektroauto Drako Dragon soll mit seinen vier Motoren eine Leistung von 1.470 kW entwickeln und 320 km/h Spitze fahren.

  2. Evari 856: Minimalistisches E-Bike mit Monocoque-Rahmen und Titan
    Evari 856
    Minimalistisches E-Bike mit Monocoque-Rahmen und Titan

    Evari 856 heißt das E-Bike, das mit einem Monocoque-Rahmen aus Carbon ausgestattet ist. Dadurch soll es besonders leicht und stabil sein.

  3. Discovery+: Neues Streamingabo in Deutschland verfügbar
    Discovery+
    Neues Streamingabo in Deutschland verfügbar

    Während etwa Netflix oder Disney werbefinanzierte Varianten ihrer Abos planen, startet Discovery+ gleich mit einem solchen Dienst.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • MSI RTX 3080 Ti Ventus 3X 12G OC 1.049€ • Alternate (u. a. Corsair Vengeance LPX 32 GB DDR4-3600 106,89€) • be quiet! Pure Rock 2 26,99€ • SanDisk microSDXC 400 GB 29€ • The Quarry + PS5-Controller 99,99€ • Samsung Galaxy Watch 3 119€ • Top-PC mit Ryzen 7 & RTX 3070 Ti 1.700€ [Werbung]
    •  /