hagge hat geschrieben:Da stellt sich mir mal wieder die Frage, was besser ist: schnelle Veröffentlichung von solchen Lücken oder Geheimhaltung, bis ein Patch existiert?
Diese Frage stellt sich mir gar nicht:
Auf jeden Fall geheim halten, bis der Hersteller einen Fix entwickelt und getestet hat.
Da ist auch das große Missverständnis: Das Entwickeln eines Hotfixes dauert nicht lange. Das Testen ist extrem aufwändig.
Wenn man wie Microsoft eine Infratruktur vorhält, die innerhalb von Minuten mehrere Millionen Rechner aktualisieren kann, dann sollte das Update gut getestet sein. Was passieren kann, wenn es zu Problemen kommt, hat jeder in den vergangenen Wochen bei den Antiviren-Softwareherstellern verfolgen können - Ein Alptraum.
hagge hat geschrieben:Eigentlich finde ich das mit dem Veröffentlichen gar nicht schlecht. Dadurch wurde jetzt auf Microsoft ein so großer Druck ausgeübt, dass die gezwungen sind, schnell zu reagieren und außerplanmäßig eine Korrektur zu bringen.
Ganz tolle Idee:
Dadurch hat der Veröffentlicher Millionen von Anwendern einer Gefahr ausgesetzt, die vorher nicht bestand. Was soll daran ein Vorteil sein?
Tausende von Admins müssen jetzt heute abend Überstunden schieben und einen Extra-Patchday einlegen, weil das veröffentlicht wurde.
hagge hat geschrieben: Anders hätte es mindestens noch bis zum nächsten Patchday gedauert oder noch länger.
Ja und?
Wenn es keinen Exploit-Code gibt, dann ist es doch egal. Mann muss mal abwägen: Wie groß ist die Gefahr wirklich, wenn keiner von der Lücke weiß?
So muss Microsoft jetzt auf die Schnelle einen Fix veröffentlichen, der viele Leute heute abend zwingt ihre Systeme zu aktualisieren und der nicht so ausführlich getestet wurde, wie man es gemacht hätte, wenn man noch 2 Wochen mehr Zeit gehabt hätte.
Ich sehe hier nur Nachteile für alle.
hagge hat geschrieben: Außerdem scheint der geheime Vorabinformationsfluss ja offensichtlich auch nicht so toll zu sein, wenn Microsoft angeblich bis vor zwei Tagen immer noch nichts von dem Exploit wusste, obwohl der bereits seit Oktober im Umlauf ist. Das spricht also für eine sofortige Veröffentlichung.
Nun, die Angriffe haben ja erst großflächig angefangen, nachdem der Exploit bekannt wurde. Ob es diesen Exploit schon im Oktober gegeben hat oder nicht weiß ich nicht, darüber gehen die Meinungen jdedoch auseinander.
Ich wiederhole mich: Erst den Hersteller informieren und eine angemessene Zeit abwarten, bis das Update veröffentlicht wurde. Der Entdecker der Lücke wird sogar in dem Bulletin genannt und hat es gar nicht nötig, sich so zu profilieren. Ob die jetzige Situation wirklich ein "Versehen" war, mag jeder für sich selbst beurteilen. Komisch ist nur, dass es meist kommerzielle "Sicherheitsdienstleister" sind, die sich mit solchen Aktionen hervortun. Ob sie ihren Kunden damit einen Gefallen tun wage ich jedoch zu bezweifeln.
hagge hat geschrieben:Dem gegenüber steht natürlich die Problematik, dass eine frühe Veröffentlichung dazu führt, dass so eine Lücke auch mehr ausgenützt wird. Außerdem ist der Zeitdruck dann so enorm, dass ein Patch eventuell nicht ausgiebig genug getestet werden kann und eventuell andere Kollateralschäden bewirkt. Das spricht gegen eine schnelle Veröffentlichung.
Full ACK, siehe oben
hagge hat geschrieben:Dennoch bin ich der Meinung, dass Lücken so schnell wie möglich geschlossen gehören, und das klappt nur mit einer sofortigen Veröffentlichung dieser Schwachstellen. Nur dann wird wirklich schnell gehandelt und nur dann können die User die entsprechende Vorsichtsmaßnahmen ergreifen. Alles andere wiegt doch die User nur in falscher Sicherheit.
Dem ersten Teil Deines Satzes stimme ich zu, aber der Schluß, den Du daraus ziehst, ist einfach falsch.
Du unterstellst den Firmen, sie hätten kein Interesse an einer Schließung der Sicherheitslücke und würde deswegen auch erst einmal kein Update veröffentlichen. Erst wenn der Druck hoch genug ist, würde sie das tun.
Schau Dir mal die letzten Security-Bulletins an und Du wirst erkennen, dass es reichlich Gegenbeispiele gibt. Microsoft hat ein extrem großes Interesse daran, alle Löcher zu stopfen.
Wen es interessiert, der kann sich ja mal ein Video anschauen, das einen kleinen Einblick in die Arbeit des Microsoft Security Response Center (MSRC) gibt. Ihr findet das Video auf der Seite
http://www.microsoft.com/security/msrc/default.mspx
Gruß,
Stefan
), Jultec JPS0506-8T Unicable Multischalter sowie UM/VF West Kabelanschluß
