Zoff mit Microsoft: Verärgerter Sicherheitsforscher kündigt Bitskrieg an
Der Sicherheitsforscher Chaotic Eclipse (auch bekannt als Nightmare Eclipse) hat in den letzten Wochen mehrere Zero-Day-Exploits für Windows geleakt. Nachdem Microsoft ihm zuletzt mit einer möglichen Strafverfolgung gedroht hatte, holt der Forscher zum Gegenschlag aus. Entgegen seiner ursprünglichen Planung(öffnet im neuen Fenster) will er nun doch im Juni einen weiteren Exploit veröffentlichen. Letzteren nennt der Forscher Bitskrieg.
Laut Blogbeitrag des Forschers(öffnet im neuen Fenster) sollen sich mit dem Exploit Sicherheitsgarantien in Verbindung mit Secure Boot untergraben lassen. Chaotic Eclipse betont, es handle sich zwar um keinen vollständigen Secure-Boot-Bypass, jedoch lasse sich die in Windows integrierte Verschlüsselungssoftware Bitlocker damit komplett aushebeln.
Schon Mitte Mai hatte der Forscher mit Yellowkey einen Bitlocker-Exploit veröffentlicht. Der lässt sich zwar nur im TPM-only-Modus ausnutzen, jedoch warnte Chaotic Eclipse kurze Zeit später, er habe noch einen weiteren Exploit, der auch bei einer TPM+PIN-Konfiguration funktioniere. Möglicherweise handelt es sich bei Bitskrieg um eben jenen Exploit.
Forscher verschenken Exploits
Laut Chaotic Eclipse erarbeitete er den neuen Exploit nicht selbst. Seit er sich mit seinen Leaks öffentlich gegen Microsoft auflehnt, sollen ihm mehrere andere Forscher "kostenlose Sicherheitslücken geschenkt" haben. Bitskrieg stammt wohl von einem Forscher, der sich Jonas Lyk nennt. Dieser habe "den Großteil der Arbeit geleistet" und Chaotic Eclipse habe sich "nur um die emotionale Unterstützung gekümmert", heißt es im Blog.
Ob sich Bitlocker mit dem neuen Exploit tatsächlich vollständig aushebeln lässt, kann zum aktuellen Zeitpunkt nicht unabhängig überprüft werden. Dafür muss Chaotic Eclipse den Exploit zunächst veröffentlichen. Wann das genau passiert, ist aber noch unklar. Im Blogbeitrag ist nur von "irgendwann im Juni" die Rede. Denkbar ist, dass der Forscher den Juni-Patchday anvisiert, welcher planmäßig auf den 9. Juni fällt. Ähnlich ging er auch bei früheren Leaks wie dem Yellowkey-Exploit vor.
Microsoft versucht zu deeskalieren
Nachdem Microsoft Chaotic Eclipse am 27. Mai in einem Blogbeitrag(öffnet im neuen Fenster) indirekt mit Strafverfolgungsmaßnahmen gedroht hatte, solidarisierten(öffnet im neuen Fenster) sich zahlreiche andere Sicherheitsforscher(öffnet im neuen Fenster) im Netz mit dem Forscher und schilderten(öffnet im neuen Fenster) ihre eigenen negativen Erfahrungen mit dem Microsoft Security Response Center (MSRC).
Am Montagmorgen versuchte Microsoft, die Wogen mit einem X-Beitrag(öffnet im neuen Fenster) wieder zu glätten. Darin schreibt der Konzern, er nehme das Feedback sehr ernst und sei sich bewusst, dass die Beziehung zwischen Sicherheitsforschern und Herstellern "sowohl kritisch als auch zeitweise fragil" sei. "Wir erkennen an, dass einige Interaktionen nicht den Erwartungen entsprochen haben, und arbeiten daran, daraus zu lernen", heißt es.
Auch zu möglichen Strafverfolgungsmaßnahmen äußerte sich Microsoft erneut. "Wir haben nicht die Absicht, rechtliche Schritte gegen Personen einzuleiten, die Sicherheitsforschung betreiben oder deren Ergebnisse veröffentlichen. Wenn eine Person gegen das Gesetz verstößt und böswillige Handlungen begeht, die unseren Kunden tatsächlichen Schaden zufügen, werden wir gegebenenfalls mit den Strafverfolgungsbehörden zusammenarbeiten", so der Konzern.
Die Community wirkt nicht überzeugt
Bei der Community kommt Microsofts X-Beitrag abermals nicht sonderlich gut an. Unter dem Beitrag sind bereits zahlreiche Reaktionen zu finden. Einige Nutzer reagierten mit Belustigung(öffnet im neuen Fenster), andere forderten von dem Konzern, sich bei Chaotic Eclipse(öffnet im neuen Fenster) und anderen unfair behandelten Sicherheitsforschern(öffnet im neuen Fenster) öffentlich zu entschuldigen.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.