Zero-Day-Drama spitzt sich zu: Microsoft droht Chaotic Eclipse mit Strafverfolgung
Inhalt
Nach der jüngsten Eskalation im Streit zwischen Microsoft und dem Sicherheitsforscher Chaotic Eclipse, der in den letzten Wochen aus Frust mehrere Zero-Day-Exploits für Windows geleakt hatte, hat Microsoft jetzt eine Stellungnahme zu dem Sachverhalt veröffentlicht. Darin droht der Konzern dem Forscher unter anderem mit einer Strafverfolgung. In der Security-Community stößt das teilweise auf heftige Kritik.
Microsoft wirft Chaotic Eclipse in einem Blogbeitrag(öffnet im neuen Fenster) vor, die Zero-Day-Lücken Redsun, Undefend, Bluehammer, Yellowkey, Greenplasma und Miniplasma nicht verantwortungsvoll offengelegt und Windows-Nutzer damit einem unnötigen Risiko ausgesetzt zu haben.
"Unkoordinierte Offenlegungen, durch die Proof-of-Concept-Code für ungepatchte Sicherheitslücken in die Hände von Angreifern gelangt, sind niemals zu rechtfertigen und haben reale Konsequenzen", schreibt der Konzern. Das Unternehmen arbeite unermüdlich daran, Angreifer aufzuspüren, "die nach genau solchen Lücken suchen, um Microsoft und unsere Kunden anzugreifen".
Microsoft bringt Strafverfolgung ins Spiel
Im darauffolgenden Satz dann Microsofts Drohung: "Unsere Digital Crimes Unit wird weiterhin Verfahren gegen diese Akteure und diejenigen einleiten, die ihre kriminellen Aktivitäten ermöglichen – und dabei bei Bedarf mit Strafverfolgungsbehörden auf der ganzen Welt zusammenarbeiten."
Auf Kritik stößt diese Formulierung unter anderem bei dem Sicherheitsforscher Kevin Beaumont. Dieser betont in einem Blogbeitrag(öffnet im neuen Fenster), die Nichteinhaltung gängiger Responsible-Disclosure-Verfahren sei nicht per se illegal. Zudem sei das MSRC-Konto von Chaotic Eclipse gesperrt worden – und damit auch seine Möglichkeit, Sicherheitslücken verantwortungsvoll an Microsoft zu melden.
Beaumont betont, dass er die Vorgehensweise von Chaotic Eclipse ebenfalls nicht gutheißt. Dennoch hat auch Microsoft für ihn eine rote Linie überschritten. "Microsoft sollte sich darauf konzentrieren, bessere und sicherere Produkte zu entwickeln, die nicht von einer einzelnen Person leicht überlistet werden können", so der Forscher.
- Anzeige Hier geht es zum Handbuch für Softwareentwickler bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.