Security: China erschwert Veröffentlichung von Software-Bugs

Die chinesische Regierung schränkt die Sicherheitsforschung deutlich ein. Sicherheitslücken könnten schlicht gehortet statt schnell behoben werden.

Artikel veröffentlicht am ,
Die chinesische Regierung hat neue Regeln zum Umgang mit Sicherheitslücken veröffentlicht.
Die chinesische Regierung hat neue Regeln zum Umgang mit Sicherheitslücken veröffentlicht. (Bild: Tingshu Wang/Reuters)

Die chinesische Regierung hat neue Richtlinien für Sicherheitsforscher veröffentlicht, die die bisherige Praxis im Umgang mit gefundenen Fehlern in Software sowie mit den Herstellern deutlich einschränkt. Das berichtet das Magazin The Record unter Verweis auf die Regeln der chinesischen Behörden.

Stellenmarkt
  1. PHP-Entwickler (m/w/d)
    RHIEM Intermedia GmbH, Voerde (Niederrhein)
  2. Referentin / Referent für den Bereich Organisations- und Informationsmanagement (m/w/d)
    Kommunale Gemeinschaftsstelle für Verwaltungsmanagement (KGSt), Köln
Detailsuche

Die neuen Regularien enthalten zwar Vorschriften, die auch von vielen Sicherheitsforschern gefordert werden, wie etwa das Verbot zum Handel von bisher unbekannten Sicherheitslücken.

Darüber hinaus müssen Anbieter über Möglichkeiten verfügen, um Meldungen über gefundenen Sicherheitslücken in den eigenen Produkten entgegenzunehmen. Außerdem werden Unternehmen ermutigt, etwa über Bug-Bounty-Programme Prämien für gemeldete Sicherheitslücken zu verteilen.

Meldung ans Ministerium

Vorgesehen ist aber auch, dass an Anbieter gemeldete Lücken innerhalb von zwei Tagen dem chinesische Ministerium für Industrie und Informationstechnik (MIIT) mitgeteilt werden müssen. Details zu den Lücken dürfen darüber hinaus auch nicht mit anderen ausländischen Stellen außer dem betroffenen Hersteller geteilt werden.

Golem Akademie
  1. Microsoft 365 Security Workshop
    27.-29. Oktober 2021, online
  2. CEH Certified Ethical Hacker v11
    8.-12. November 2021, online
  3. Penetration Testing Fundamentals
    17.-18. Januar 2022, online
Weitere IT-Trainings

Eine Veröffentlichung der Details als sogenanntes Full Disclosure ist zudem nur nach Zustimmung durch das MIIT erlaubt und auch erst, nachdem der betroffene Hersteller einen angemessenen Zeitraum zum Erstellen der Patches hatte.

Befürchtungen von Sicherheitsforschern

Diese Kombination könnte dazu führen, dass der chinesische Staat eine riesige Sammlung von Sicherheitslücken aufbaut, die noch nicht behoben wurden. Derartige Sammlungen wiederum sind begehrte Ziele für Angriffe, wie etwa die bei der NSA entwendeten Informationen über Lücken und Exploits gezeigt haben.

Darüber hinaus befürchtet die Forscherin Katie Moussouris laut dem Bericht, dass Hersteller mit Bug-Bounty-Programmen, die Meldungen aus China entgegennehmen, davon ausgehen müssen, dass der chinesische Staat dafür künftig eine Art Backdoor besitzt. Denn durch die Berichtspflicht der Forscher erhält der Staat immer Zugriff auf die Lücken.

Hacking & Security: Das umfassende Handbuch. 2. aktualisierte Auflage des IT-Standardwerks (Deutsch) Gebundene Ausgabe

In den vergangenen Jahren haben chinesische Sicherheitsforscher immer wieder an den Bug-Bounty-Programmen etwa von Microsoft oder Google teilgenommen. Die chinesische Regierung könnte künftig aber diese Informationen aus den Programmen selbst nutzen, um eigene Exploits für noch nicht behobene Lücke zu erstellen.

Der chinesischen Regierung wird immer wieder vorgeworfen, aktiv Spionagesoftware einzusetzen. Exploits für noch nicht gepatchte Software könnten dazu beitragen, diese weiter zu verteilen.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Silence S04
Günstiges Elektroauto mit herausnehmbaren Akku vorgestellt

Beim Elektroauto Silence S04 kann der Nutzer den Akku selbst wechseln, wenn dieser leergefahren ist.

Silence S04: Günstiges Elektroauto mit herausnehmbaren Akku vorgestellt
Artikel
  1. Microsoft: Das nächste große Update für Windows 10 kommt im November
    Microsoft
    Das nächste große Update für Windows 10 kommt im November

    Die Version 21H2 wurde wohl auch wegen Windows 11 etwas nach hinten verschoben. Der Patch soll nun aber im November für Windows 10 kommen.

  2. Arduino und Python: Bastler nimmt Audiokassette als Speichermedium für Retro-PC
    Arduino und Python
    Bastler nimmt Audiokassette als Speichermedium für Retro-PC

    Die Kassette kann nicht nur Lieder speichern, sondern auch Bitmuster. Ein Bastler baut dafür eine Schnittstelle mit 1,5 KBit/s Datenrate.

  3. Bis Ende 2022: VW-Manager müssen wegen Chipkrise Verbrenner fahren
    Bis Ende 2022
    VW-Manager müssen wegen Chipkrise Verbrenner fahren

    2022 werden VWs Manager den Kurs des Unternehmenschefs Herbert Diess nicht fahren können - Elektroautos und Hybride können als Dienstwagen nicht bestellt werden.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • AOC CQ32G2SE/BK 285,70€ • Dell Alienware AW2521H 360 Hz 499€ • Corsair Vengeance RGB PRO SL 64-GB-Kit 3600 253,64€ • DeepCool Castle 360EX 109,90€ • Phanteks Glacier One 240MP 105,89€ • Seagate SSDs & HDDs günstiger • Alternate (u. a. Thermaltake Core P3 TG Snow Ed. 121,89€) [Werbung]
    •  /