Neue Geschäftsmodelle & Responsible Disclosure

[Frank]

Wenn Geheimdienste und Kriminelle verzweifelt nach Zero-Day-Exploit suchen und dafür auch sehr gut zahlen wäre es doch für Softwarehersteller ein Anreiz, bewusst löchrige Software zu produzieren. Diese Firmen wären dann NSA Liebling und werden als Gegenleistung staatlich protegiert. Zum Beispiel bei staatlichen Aufträgen, natürlich hier ohne offensichtliche Sicherheitslücken zu verteilen. Es sei den, Big Brother will auch staatliche Stellen angemessen überwachen. Vertrauen ist gut, Kontrolle durch Big Brother ist besser.

Wozu sollen Security Experten Sicherheitslöcher an Hersteller vorab melden (Responsible Disclosure), wenn diese umgehend an Geheimdienste weiter gereicht werden und diese Firmen erst nach Wochen/Monaten anfangen, die Löcher zu stopfen? Eventuell gibt es staatliche Prämien, besonders effektive Sicherheitslücken möglichst lange geheim und offen zu lassen. Alles nur Verschwörungstheorien?

Und wozu überhaupt nach Zero-Day-Exploit suchen? Es gibt doch theoretisch mit der Windows Update Funktion die universelle Möglichkeit, Windows Systeme für interessierte Parteien jederzeit remote mit einer individuellen Backdoor zu versehen und diese nach Gebrauch wieder forensisch clean zu entfernen. Dazu benötigt man nur Zertifikate und Keys vom Hersteller, die vom Windows Betriebssystem als vertrauenswürdig angesehen werden. Alles andere geht individuell im Hintergrund mit einem gefakten untergeschobenen Updateserver oder gar mit originalen Updateservern, auf denen man als "Bedarfsträger" jederzeit Zugang hat.

Gegen solche Szenarien hilft im Grunde NUR Linux. Auch hier können Backdoors auftreten, Online Update Funktionen missbraucht werden, Server & Keys kompromittiert werden. Aber all das kann im Gegensatz zu Windows, MacOS & Co von der Community erkannt werden. Das man Windows als Desktop System der Bequemlichkeit/Usability wegen Linux vorzieht, dafür habe ich Verständnis. Wer aber freiwillig Windows Server in kritischen Infrastrukturen einsetzt, nur weil er aus Kostengründen gerne billige Klicki Bunti Amateur Admins einsetzen will, dem ist als Organisation oder Unternehmen nicht zu helfen.

Ein potentielles Spionageprogramm hat die Öffentlichkeit aber noch nicht im Blickfeld, die Antivirenprogramme. Wenn einer ungehinderten Zugang zu allen Dateien auf dem PC mit auffällig regelmäßiger Außenkommunikation hat, dann diese. Wäre ich NSA Chef, ich würde bei marktbeherrschenden Antiviren Unternehmen einsteigen.

[Frank]

Die deutschen Helfer der US-Spione

[Ayers]

[Casual3rdparty]

[Frank]

Zero-Day-Lücke im Adobe Reader

[Frank]

Großangriff auf Verschlüsselung im Internet

[Frank]

[sehr gut]