Komunikationsdesaster mit solchen Firmen !

[Voyager]

Komunikationsdesaster mit solchen Firmen sind doch seit 30 Jahren seit Beginn der Software Ära die Regel , ob das Microsoft oder Oracle oder Symantec oder sonst welche großen US-Buden sind wenn Private ausserhalb der Öffentlichkeit an die Firmen herantreten und Fehler einreichen, das verschwindet wortlos im Schrank oder in eine Datenbank und wird einfach ignoriert.
Wie oft wurde davon schon berichtet das solche Firmen über Schwachstellen in der Software lange Zeit informiert waren und nichts getan haben, die Hände in den Schoß gelegt haben.
Und da wundern die sich dann wenn findige Leute ihre Exploits gleich in die Medien tragen ohne den Fehler dem Hersteller zu melden und die Medien haben dann nichts besseres zu tun als die Kritik aus den Firmen wie man Bugs umgeht auch noch zu veröffentlichen ? Das finde ich wiederwärtig...
Warum sollte es dann verwundern wenn Fehler in Software im Untergrund gleich an Virenschreiber verkauft werden , da hat derjenige wenigstens einmal was davon der die Fehler in Anwendungssoftware gefunden hat...

Wir bräuchten eindeutige gesetzliche Regelungen , das man solche Firmen haftbar machen kann wenn ihre Anwendungssoftware fehlerhaft war und die Firma länger als 1 Monat davon wusste ! Über den Zeitraum könnte man sicher Kompromisse machen aber ohne solche Regeln wird sich das Problem mit dem Kommunikationsdesaster nie ändern .



3 mal bearbeitet, zuletzt am 30.08.12 22:33 durch Voyager.

[__destruct()]

Naja, heute wurde davon berichtet. Und zwar davon, dass Oracle schon vor Monaten davon in Kenntnis gesetzt wurde. IcedTea hatte das Problem schnell gelöst, obwohl die Community erst mit dem ersten Exploit von der Lücke erfuhr, während sie Oracle schon Monate vor den Exploits hätte schließen können. Jetzt, wo alles publik wurde, ging das natürlich viel schneller voran und käme kein Exploit und wäre es nicht publik geworden, dann hätten sie uns das vll. zu Weihnachten oder Neujahr geschenkt.

[Voyager]

Dann könnte man also einen gesetzlichen Zeitraum auf eine Woche reduzieren, wenn da die Firma das Problem nicht beseitigt oder wenigstens innerhalb einer Woche die Öffentlichkeit nicht informiert so sollte die Firma für alle entstandenen Schäden aufkommen .
Nach sovielen Jahren könnte man ruhig zu solchen drastischen Regelungen kommen.

[__destruct()]

Es gibt Probleme, die wirklich nicht innerhalb einer Woche gelöst werden können. Das wäre zu viel verlangt, da es manchmal schlicht nicht möglich ist.

Das mit dem Informieren ist jedoch sehr wichtig und da könnte man auch einen wesentlich kürzeren Zeitraum ansetzen, zumindest für alles, was über das Kleingewerbe hinausgeht. 3 Werktage für mittelgroße Unternehmen und 2 für große.

Diese Information müsste dann enthalten müssen, wie darauf reagiert werden wird (Zeitrahmen, etc.) und was die Nutzer tun können (deaktivieren, deinstallieren, Konfiguration anpassen, auf bestimmte Merkmale achten, etc.). Das Zeitfenster würde mit dem Bekanntwerden des ersten Exploits beginnen, damit kein Exploit nur aufgrund dieser Vorschrift zu Stande käme, wenn das Unternehmen die Lücke selbst entdeckt oder nichtöffentlich zugespielt bekommen haben sollte.