Abo
  • Services:
Anzeige
Google-Chef Larry Page
Google-Chef Larry Page (Bild: Justin Sullivan / Getty Images)

Sicherheitslücken: Google gibt Herstellern nur noch 7 Tage

Google-Chef Larry Page
Google-Chef Larry Page (Bild: Justin Sullivan / Getty Images)

Googles Sicherheitsforscher sollen Sicherheitslücken in Software anderer Hersteller künftig schon nach sieben Tagen veröffentlichen, wenn diese aktiv von Angreifern ausgenutzt werden - auch dann, wenn der Hersteller sie noch nicht geschlossen hat. Das ist auch ein Angriff auf die Sicherheitspolitik von Microsoft und Oracle.

Wann soll jemand, der eine Sicherheitslücke in einer Software eines anderen entdeckt, die Öffentlichkeit darüber informieren? Das ist eine Frage ohne richtige Antwort: Die einen argumentieren, Sicherheitslücken dürften nicht öffentlich gemacht werden, bevor der jeweilige Hersteller den Fehler korrigiert hat, die anderen fordern eine sofortige Veröffentlichung ohne jede Rücksichtnahme. Die meisten wählen einen Mittelweg und räumen Herstellern eine gewisse Zeit ein, um den Fehler zu beseitigen. Denn wird eine Sicherheitslücke bekannt, bevor sie geschlossen ist, bietet das Angreifern die Chance, die Informationen zu verwenden, um den Nutzern der jeweiligen Software zu schaden.

Anzeige

Das gilt auch für Google, dessen Sicherheitsforscher immer wieder sogenannte Zero-Day-Sicherheitslücken in der Software von anderen Unternehmen entdecken, also Sicherheitslücken, die der Öffentlichkeit bis dahin unbekannt sind. In diesen Fällen informieren sie den jeweiligen Hersteller. Dabei gab Google Drittherstellern bislang 60 Tage Zeit, die Sicherheitslücke zu schließen oder zumindest Schutzmaßnahmen zu empfehlen. Brauchte ein Hersteller länger, riet Google Sicherheitsforschern bisher, die Lücken trotzdem zu veröffentlichen.

Werde eine Sicherheitslücke aktiv ausgenutzt, seien 60 Tage aber zu lang, schreiben Googles Sicherheitsforscher Chris Evans und Drew Hintz in einem Blogeintrag. Das gelte ganz besonders dann, wenn es nur gezielte Angriffe auf bestimmte Nutzergruppen gebe, politische Aktivisten beispielsweise, deren Sicherheit im realen Leben gefährdet ist, sollten ihre Systeme kompromittiert werden.

Daher gibt Google für Zero-Day-Lücken, die bereits aktiv ausgenutzt werden, eine neue Richtlinie aus: Hersteller haben künftig nur noch sieben Tage Zeit, bis solche Sicherheitslücken veröffentlicht werden, ganz gleich ob eine Korrektur oder ein Workaround vorliegt. An jedem Tag, an dem eine aktiv ausgenutzte Sicherheitslücke unveröffentlicht und ungepacht bleibe, würden mehr Computer kompromittiert, argumentiert Google.

Sieben Tage sind sehr wenig

Evans und Hintz räumen ein, dass die Zeitspanne von sieben Tagen für manche Hersteller nicht ausreichend ist, um ihre Produkte zu aktualisieren. Denn es ist nicht damit getan, den jeweiligen Fehler zu korrigieren, die geänderte Software muss anschließend auch getestet werden. Nach Ansicht von Evans und Hintz sollten von sieben Tage aber dafür ausreichen, dass Hersteller ihren eigenen Kunden erklären, wie sie sich gegen entsprechende Angriffe schützen können, beispielsweise, indem sie bestimmte Dienste deaktivieren.

Nach Ablauf der Sieben-Tage-Frist will Google Sicherheitsforscher dabei unterstützen, Details zu den gefundenen Sicherheitslücken zu veröffentlichen, anhand derer sich Nutzer schützen können. Die Regel soll ausdrücklich auch für Sicherheitslücken gelten, die in Googles Software gefunden werden.

Implizite Kritik an Microsoft und Oracle

Googles neue Richtlinie ist auch eine implizite Kritik an Microsoft und Oracle sowie ein Angriff auf deren Sicherheitspolitik: Microsoft veröffentlicht in aller Regel nur einmal im Monat Sicherheitsupdates für seine Produkte. Lediglich bei öffentlich bekanntgewordenen Sicherheitslücken, die aktiv ausgenutzt wurden, hat Microsoft in der jüngeren Vergangenheit mit sogenannten Hot-Fixes reagiert.

Von den rund 57 im Februar 2013 von Microsoft geschlossenen Sicherheitslücken wurden 32 von Google direkt an Microsoft gemeldet. Immerhin zwei der beim letzten Microsoft-Patchday im Mai 2013 geschlossenen Sicherheitslücken kamen von Google und erst vor zwei Wochen veröffentlichte Googles Sicherheitsforscher Tavis Ormandy eine Zero-Day-Lücke in Windows 7 und 8, noch bevor Microsoft sie geschlossen hatte. Er kommentierte dies mit den Worten: "Ich habe nicht viel freie Zeit, um mich mit dummem Microsoft-Code zu beschäftigen".

Oracle veröffentlicht Sicherheitsupdates in aller Regel sogar nur einmal im Quartal.

Mit einem Patchrhythmus von einem Monat bzw. drei Monaten dürften Microsoft und Oracle die von Google nun auf sieben Tage verkürzte Frist in vielen Fällen nicht einhalten können und müssen damit rechnen, dass von Google entdeckte Sicherheitslücken künftig bekanntwerden, bevor sie dafür einen Patch veröffentlicht haben. Das dürfte so manchen Anbieter schlecht aussehen lassen.


eye home zur Startseite
WilliTheSmith 01. Jun 2013

Schreib dir ein kleines Skript und führe es täglich mittels eines Cronjobs aus, fertig...

Nephtys 30. Mai 2013

Ja, aber bei den Script-Kiddies ohne wirkliches Wissen oder Kontakte nicht. Und die sind...

Nephtys 30. Mai 2013

das AOSP bringt dann relativ schnell eine neue Version raus, außerdem ändern sich eh die...

__destruct() 30. Mai 2013

Da fällt mir ein: Ich habe meinen Desktop-PC jetzt bestimmt schon wieder ein dreiviertel...

hjp 30. Mai 2013

"sogenannte Zero-Day-Sicherheitslücken in der Software von anderen Unternehmen entdecken...



Anzeige

Stellenmarkt
  1. Robert Bosch Car Multimedia GmbH, Hildesheim
  2. Robert Bosch GmbH, Gerlingen
  3. Rohde & Schwarz Cybersecurity GmbH, München, Köln oder Berlin
  4. Bosch Rexroth AG, Schwieberdingen


Anzeige
Hardware-Angebote
  1. bei Caseking
  2. 29,99€ + 5,99€ Versand (günstiger als die schlechtere Nicht-PCGH-Version)

Folgen Sie uns
       


  1. The Evil Within 2 im Test

    Überleben in der Horror-Matrix

  2. S410

    Getacs modulares Outdoor-Notebook bekommt neue CPUs

  3. Qualcomm

    5G-Referenz-Smartphone gezeigt

  4. Garmin Speak

    Neuer Alexa-Lautsprecher fürs Auto zeigt den Weg an

  5. Datenrate

    Kunden wollen schnelle Internetzugänge

  6. Essential Phone im Test

    Das essenzielle Android-Smartphone hat ein Problem

  7. Pixel Visual Core

    Googles eigener ISP macht HDR+ schneller

  8. TK-Marktstudie

    Telekom kann ihre Glasfaseranschlüsse nur schwer verkaufen

  9. Messenger

    Whatsapp lässt Aufenthaltsort über längere Zeiträume teilen

  10. ZBook x2

    HPs mobile Workstation macht Wacom und Surface Konkurrenz



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Elektromobilität: Niederlande beschließen Aus für Verbrennungsautos
Elektromobilität
Niederlande beschließen Aus für Verbrennungsautos
  1. World Solar Challenge Regen in Australien verdirbt Solarrennern den Spaß
  2. Ab 2030 EU-Komission will Elektroauto-Quote
  3. Mit ZF und Nvidia Deutsche Post entwickelt autonome Streetscooter

Verschlüsselung: Niemand hat die Absicht, TLS zu knacken
Verschlüsselung
Niemand hat die Absicht, TLS zu knacken
  1. TLS-Zertifikate Zertifizierungsstellen müssen CAA-Records prüfen
  2. Apache-Lizenz 2.0 OpenSSL-Lizenzwechsel führt zu Code-Entfernungen
  3. Certificate Transparency Webanwendungen hacken, bevor sie installiert sind

Zotac Zbox PI225 im Test: Der Kreditkarten-Rechner
Zotac Zbox PI225 im Test
Der Kreditkarten-Rechner

  1. Bin vollauf positiv überrascht

    quisam2342 | 14:47

  2. Ende des XDA HDR+ Mods

    TC | 14:47

  3. Re: Gute Leistung bei wenig Arbeitsspeicher

    Gaius Baltar | 14:46

  4. Re: Interessant,

    Reverse | 14:45

  5. Re: Gesichtserkennung unsicherere Fingerabdruckleser?

    ZofiaHollister | 14:45


  1. 15:00

  2. 14:31

  3. 14:16

  4. 14:00

  5. 12:56

  6. 12:01

  7. 11:48

  8. 11:21


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel