{"id":1299,"date":"2010-06-14T17:21:56","date_gmt":"2010-06-14T16:21:56","guid":{"rendered":"http:\/\/www.mitternachtshacking.de\/blog\/1299-windows-help-center-vulnerability-disclosure-verargert-microsoft"},"modified":"2018-05-22T18:27:24","modified_gmt":"2018-05-22T17:27:24","slug":"windows-help-center-vulnerability-disclosure-verargert-microsoft","status":"publish","type":"post","link":"https:\/\/www.mitternachtshacking.de\/blog\/1299-windows-help-center-vulnerability-disclosure-verargert-microsoft","title":{"rendered":"Windows Help Center Vulnerability Disclosure ver\u00e4rgert Microsoft"},"content":{"rendered":"<p>Ich hatte erst vor ein paar Tagen hier einen Beitrag zu <a href=\"\/blog\/1290-vulnerability-disclosure\">Vulnerability Disclosure<\/a> ver\u00f6ffentlicht. Die g\u00e4ngige Diskussion ist dabei vor allem, was ist ein &#8222;Responsible&#8220; Disclosure also eine verantwortunsbewu\u00dfte Ver\u00f6ffentlichung von Sicherheitsl\u00fccken. Hier wird in der IT-Security Branche bekanntlich heftig gestritten. Die eine Front verlangt ausreichend (notfalls beliebig) Zeit f\u00fcr die Hersteller um Sicherheitsl\u00fccken zu beheben, die andere Front will L\u00fccken so schnell wie m\u00f6glich ver\u00f6ffentlichen um Hersteller zu zwingen, auf bekannte L\u00fccken auch tats\u00e4chlich z\u00fcgig mit einem Patch zu reagieren. In der Praxis lassen viele Leute dem Hersteller zwischen 30 und 90 Tagen Zeit um einen Patch zu entwickeln und ver\u00f6ffentlichen dann Details zu einer L\u00fccke, auch wenn der Hersteller nach dieser Zeit noch keinen Patch ver\u00f6ffentlicht hat. Das ist ein relativ guter Kompromiss zwischen beiden Lagern.<\/p>\n<p>Aktuell <a href=\"http:\/\/www.golem.de\/1006\/75731.html\">gibt es jetzt<\/a> <a href=\"http:\/\/www.heise.de\/newsticker\/meldung\/Querelen-um-neue-Windows-Luecke-Update-1020074.html\">einen Fall<\/a> in dem der Entdecker einer L\u00fccke dem Hersteller nur wenige Tage gelassen hat und schon sind wieder alle am Streiten.<\/p>\n<p>Tavis Ormandy, ein Entwickler bei Google hat eine technisch interessante (weil recht komplexe) Sicherheitsl\u00fccke im Hilfe- und Support-Center von Microsoft Windows entdeckt. Details zur L\u00fccke und einen Demo-Exploit hat Tavis <a href=\"http:\/\/seclists.org\/fulldisclosure\/2010\/Jun\/205\">am 10.06. auf der Full-Disclosure Mailingliste ver\u00f6ffentlicht<\/a>. Die Mailingliste kann jeder abonnieren und bekommt automatisch alles zugeschickt was dorthin geschickt wird. Leider ist auch viel Schrott auf der Liste, weil sie kaum moderiert wird. Microsoft wurde am 05.06. von Tavis \u00fcber diese L\u00fccke informiert und hat den Eingang am gleichen Tag best\u00e4tigt.<\/p>\n<p>Tavis wirft Microsoft jetzt vor, seit 05.06. nichts mehr geh\u00f6rt zu haben, nimmt deshalb an, es k\u00fcmmert sich keiner um die L\u00fccke und ver\u00f6ffentlicht 5 Tage sp\u00e4ter den Exploit mit dem dezenten Hinweis:<\/p>\n<ul>&#8222;Those of you with large support contracts are encouraged to tell your support representatives that you would like to see Microsoft invest in developing processes for faster responses to external security reports.&#8220;<\/ul>\n<p>Und das ausgerechnet von einem Mitarbeiter von Google, der Firma die vor wenigen Wochen gro\u00dfm\u00e4ulig Microsoft-Betriebssysteme in die Tonne getreten hat. Das hat schon ein &#8222;Geschm\u00e4ckle&#8220;. Tavis begr\u00fcndet sein schnelles Disclosure zwar unter anderem damit, dass er vermutet die b\u00f6sen Hacker w\u00fcrden diese L\u00fccke bereits ausnutzen. Daf\u00fcr fehlen jedoch die n\u00f6tigen Beweise. Au\u00dferdem hat Tavis einen Workaround mitgeliefert, der den Angriff verhindern sollte bei dem sich jedoch herausgestellt hat, dass der Schutz nicht richtig wirksam ist.<\/p>\n<p>Und nun stellt sich die berechtigte Frage, ob das Vorgehen von Tavis noch von &#8222;Responsible Disclosure&#8220; gedeckt ist oder ob ein Google-Mitarbeiter die gute Gelegenheit genutzt hat, mit einer neuen Sicherheitsl\u00fccke Microsoft eins auszuwischen und den Konzern vielleicht sogar dazu zu n\u00f6tigen, einen Patch au\u00dferhalb der normalen Update-Sequenz herauszubringen. Und damit quasi als Kollateralschaden Millionen von Windows-Anwendern gef\u00e4hrdet. Ich wei\u00df es nicht. Aber als Administrator bin ich \u00fcber &#8222;aus der Reihe Patches&#8220; nie besonders gl\u00fccklich. Vermutlich h\u00e4tte man die Kommunikation \u00fcber diese L\u00fccke kl\u00fcger handhaben k\u00f6nne.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Ich hatte erst vor ein paar Tagen hier einen Beitrag zu Vulnerability Disclosure ver\u00f6ffentlicht. Die g\u00e4ngige Diskussion ist dabei vor allem, was ist ein &#8222;Responsible&#8220; Disclosure also eine verantwortunsbewu\u00dfte Ver\u00f6ffentlichung von Sicherheitsl\u00fccken. Hier wird in der IT-Security Branche bekanntlich heftig gestritten. Die eine Front verlangt ausreichend (notfalls beliebig) Zeit f\u00fcr die Hersteller um Sicherheitsl\u00fccken zu [&hellip;]<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":[],"categories":[8,5,6],"tags":[],"_links":{"self":[{"href":"https:\/\/www.mitternachtshacking.de\/blog\/wp-json\/wp\/v2\/posts\/1299"}],"collection":[{"href":"https:\/\/www.mitternachtshacking.de\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.mitternachtshacking.de\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.mitternachtshacking.de\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.mitternachtshacking.de\/blog\/wp-json\/wp\/v2\/comments?post=1299"}],"version-history":[{"count":0,"href":"https:\/\/www.mitternachtshacking.de\/blog\/wp-json\/wp\/v2\/posts\/1299\/revisions"}],"wp:attachment":[{"href":"https:\/\/www.mitternachtshacking.de\/blog\/wp-json\/wp\/v2\/media?parent=1299"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.mitternachtshacking.de\/blog\/wp-json\/wp\/v2\/categories?post=1299"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.mitternachtshacking.de\/blog\/wp-json\/wp\/v2\/tags?post=1299"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}