Responsible Disclosure (IT-Sicherheit)
Responsible Disclosure ist ein Verfahren zur Offenlegung von Sicherheitslücken, bei dem die Schwachstelle zuerst den Entwicklern gemeldet und erst nach einer angemessenen Frist zur Behebung veröffentlicht wird.[1]
Zusätzlich gibt es die Full Disclosure, bei der direkt die Öffentlichkeit informiert wird, sowie die Private Disclosure, bei der die Details nicht öffentlich gemacht werden.
Verfahren
Die Entwickler von Hard- und Software benötigen im Allgemeinen Zeit und Ressourcen, um ihre Fehler zu beheben. Viele Ethische Hacker sind der Meinung, dass es ihre soziale Verantwortung ist, die Öffentlichkeit auf Schwachstellen aufmerksam zu machen, ohne sie unnötig zu gefährden. Das Verschweigen dieser Probleme könnte bei Nutzern ein Gefühl falscher Sicherheit hervorrufen und ermöglicht, dass Hintertüren weiter existieren können. Daher liegt es in der empfundenen Verantwortung, solche Lücken zu melden. Dafür schließen sich die beteiligten Parteien zusammen und vereinbaren eine Frist für die Behebung der Schwachstelle. Je nach den potenziellen Auswirkungen der Schwachstelle, der voraussichtlichen Zeit, die für die Entwicklung einer Lösung und das Ausspielen des entsprechenden Patches benötigt wird, sowie weiteren Faktoren kann dieser Zeitraum zwischen einigen Tagen und mehreren Monaten liegen. Teilweise stellt der Entdecker einer Schwachstelle auch dem Hersteller eine Frist, bis zu der dieser auf den Hinweis reagiert haben muss, um eine Full Disclosure zu verhindern.[2]
Es ist industrieweit etabliert, dem Melder einer Sicherheitslücke zu danken und ggf. zu belohnen. Allerdings können auch per Responsible Disclosure gemeldete Sicherheitslücken strafrechtliche Konsequenzen für den Entdecker nach sich ziehen. Ein Fallbeispiel ist der Sicherheitsforscher Patrick Webster, der herausfand, dass personenbezogene Daten einer australischen Behörde öffentlich einsehbar waren. Da er, um diese Sicherheitslücke zu entdecken, diese Daten eingesehen hatte, wurden ihm juristische Konsequenzen angedroht; diese wurden jedoch später aufgrund des öffentlichen Drucks zurückgezogen.[3][4] Auch die Sicherheitsforscherin Lilith Wittmann erhielt noch 2021 eine Strafanzeige, nachdem sie eine Sicherheitslücke in der Wahlkampf-App CDU connect entdeckt hatte. Die CDU entschuldigte sich später.[5]
Einzelnachweise
- What is Responsible Disclosure? In: Bugcrowd. Abgerufen am 5. August 2021 (amerikanisches Englisch).
- Vulnerability Disclosure - OWASP Cheat Sheet Series. Abgerufen am 6. August 2021.
- Bug Bounty Startup Raises $26 Million. Abgerufen am 10. August 2021 (englisch).
- Alana Maurushat: Disclosure of Security Vulnerabilities (= SpringerBriefs in Cybersecurity). Springer London, London 2013, ISBN 978-1-4471-5003-9, S. 10 ff., doi:10.1007/978-1-4471-5004-6 (springer.com [abgerufen am 10. August 2021]).
- CDU zieht Anzeige wegen CDU-connect-App zurück und bittet um Entschuldigung, Nico Ernst, Heise online, 4. August 2021