Nett

[AdmiralAckbar]

"Nachdem Zhover in einem Skype-Forum auf das Problem und die Webseite hingewiesen hatte, wurde sein Skype-Account gesperrt, berichtet der Hacker. Außerdem wurde der Thread gelöscht. Auf Anfrage eines andern Benutzers, soll ein Skype-Mitarbeiter erklärt haben, der Thread stehe nur noch internen Administratoren zur Verfügung. Es könnte sich um ein ernstes Problem handeln und werde untersucht."

Andere bezahlen Menschen für solche Hinweise und bestrafen sie nicht,
Wie bei google.
Andernfalls hätte Zhover das ganze nicht öffentlich machen sollen und auch die Anfrage per Mail schicken können, aber so sind nun mal die Hacker die deren Szenen-namen gerne auf anderen Websites sehen wollen...

[Mingfu]

AdmiralAckbar schrieb:
--------------------------------------------------------------------------------
> Andernfalls hätte Zhover das ganze nicht öffentlich machen sollen und auch
> die Anfrage per Mail schicken können, aber so sind nun mal die Hacker die
> deren Szenen-namen gerne auf anderen Websites sehen wollen...

Sicher ist oft Eitelkeit im Spiel. Allerdings hat dieses Vorgehen mit unverzüglicher Veröffentlichung von Sicherheitslücken auch viele Vorteile. Nur Eitelkeit ist da zu dünn als Erklärung.

1. Der Hersteller wird unter Druck gesetzt eine Lösung schnellstmöglich anzubieten. Wenn man Sicherheitslücken vertraulich mitteilt, wird das nicht selten auf die lange Bank geschoben und lieber neue Features integriert (weil das sind harte Verkaufsargumente) statt vorhandene Sicherheitsprobleme behoben. Teilweise passiert selbst nach Jahren dann nichts.

2. Jedem wird bekannt, dass ein Problem besteht und es kann jeder versuchen sich eventuell durch Zusatzmaßnahmen zu schützen. Eventuell haben Kriminielle ja bereits viel eher die Sicherheitslücke entdeckt und nutzen sie längst aktiv aus. Hier kommt es dann darauf an, dass schnellstmöglich ein Problembewusstsein geschaffen wird - deutlich schneller als der Hersteller einen Patch anbieten kann.

3. Der Lerneffekt für die Allgemeinheit ist höher. Offene Sicherheitslücken interessieren die Leute zwangsläufig deutlich mehr als wenn der Hersteller die Lücke bereits geschlossen hat und nur der Vollständigkeit halber die Mechanik vielleicht noch aufgedeckt wird (wenn überhaupt). Hier kann sich jeder fragen, ob er nicht vielleicht in einem anderen Zusammenhang den gleichen Fehler macht oder ob er Vorsorge getroffen hat, weil ja auch in anderen Programmen ähnliche Fehler auftreten könnten.

Es gibt also neben der Eitelkeit auch gute Gründe für unverzügliches full disclosure.

Und als Zusatzpunkt vielleicht noch: Es gibt ja auch einen Markt für Sicherheitslücken, so dass man sie teilweise gegen viel Geld auch an Kriminelle verkaufen kann. Da ist mir jemand, der lediglich etwas eitel ist, die Sicherheitslücke aber öffentlich macht, dann doch deutlich lieber als jemand, der sein Wissen meistbietend verkauft und die Öffentlichkeit Kriminellen ausliefert.



2 mal bearbeitet, zuletzt am 30.04.12 10:11 durch Mingfu.