Responsible Disclosure: Unterschied zwischen den Versionen

Aus Foxwiki
Versionsgeschichte interaktiv durchsuchen
← Zum vorherigen Versionsunterschied
VisuellWikitext
Keine Bearbeitungszusammenfassung
Keine Bearbeitungszusammenfassung
 
(3 dazwischenliegende Versionen desselben Benutzers werden nicht angezeigt)
Zeile 1: Zeile 1:
= Responsible Disclosure =
'''Responsible Disclosure''' - Beschreibung
 
== Beschreibung ==
'''Responsible Disclosure''' ist ein Verfahren zur Offenlegung von [[Sicherheitslücke]]n, bei dem die Schwachstelle zuerst den Entwicklern gemeldet und erst nach einer angemessenen Frist zur Behebung veröffentlicht wird.<ref>{{Internetquelle |url=https://www.bugcrowd.com/resource/what-is-responsible-disclosure/ |titel=What is Responsible Disclosure? |werk=Bugcrowd |sprache=en-US |abruf=2021-08-05}}</ref>
'''Responsible Disclosure''' ist ein Verfahren zur Offenlegung von [[Sicherheitslücke]]n, bei dem die Schwachstelle zuerst den Entwicklern gemeldet und erst nach einer angemessenen Frist zur Behebung veröffentlicht wird.<ref>{{Internetquelle |url=https://www.bugcrowd.com/resource/what-is-responsible-disclosure/ |titel=What is Responsible Disclosure? |werk=Bugcrowd |sprache=en-US |abruf=2021-08-05}}</ref>


Zusätzlich gibt es die [[Full Disclosure (IT-Sicherheit)|Full Disclosure]], bei der direkt die Öffentlichkeit informiert wird, sowie die [[Private Disclosure (IT-Sicherheit)|Private Disclosure]], bei der die Details nicht öffentlich gemacht werden.
Zusätzlich gibt es die [[Full Disclosure (IT-Sicherheit)|Full Disclosure]], bei der direkt die Öffentlichkeit informiert wird, sowie die [[Private Disclosure (IT-Sicherheit)|Private Disclosure]], bei der die Details nicht öffentlich gemacht werden


== Verfahren ==
== Verfahren ==
Die Entwickler von [[Hardware|Hard-]] und [[Software]] benötigen im Allgemeinen Zeit und Ressourcen, um ihre Fehler zu beheben. Viele [[Hackerethik|Ethische Hacker]] sind der Meinung, dass es ihre soziale Verantwortung ist, die [[Öffentlichkeit]] auf Schwachstellen aufmerksam zu machen, ohne sie unnötig zu gefährden. Das Verschweigen dieser Probleme könnte bei Nutzern ein Gefühl falscher [[Sicherheit]] hervorrufen und ermöglicht, dass Hintertüren weiter existieren können. Daher liegt es in der empfundenen Verantwortung, solche Lücken zu melden. Dafür schließen sich die beteiligten Parteien zusammen und vereinbaren eine Frist für die Behebung der Schwachstelle. Je nach den potenziellen Auswirkungen der Schwachstelle, der voraussichtlichen Zeit, die für die Entwicklung einer Lösung und das Ausspielen des entsprechenden [[Patch (Software)|Patches]] benötigt wird, sowie weiteren Faktoren kann dieser Zeitraum zwischen einigen Tagen und mehreren Monaten liegen. Teilweise stellt der Entdecker einer Schwachstelle auch dem Hersteller eine Frist, bis zu der dieser auf den Hinweis reagiert haben muss, um eine Full Disclosure zu verhindern.<ref>{{Internetquelle |url=https://cheatsheetseries.owasp.org/cheatsheets/Vulnerability_Disclosure_Cheat_Sheet.html |titel=Vulnerability Disclosure - OWASP Cheat Sheet Series |abruf=2021-08-06}}</ref>
Die Entwickler von [[Hardware|Hard-]] und [[Software]] benötigen im Allgemeinen Zeit und Ressourcen, um ihre Fehler zu beheben
* Viele [[Hackerethik|Ethische Hacker]] sind der Meinung, dass es ihre soziale Verantwortung ist, die [[Öffentlichkeit]] auf Schwachstellen aufmerksam zu machen, ohne sie unnötig zu gefährden
* Das Verschweigen dieser Probleme könnte bei Nutzern ein Gefühl falscher [[Sicherheit]] hervorrufen und ermöglicht, dass Hintertüren weiter existieren können
* Daher liegt es in der empfundenen Verantwortung, solche Lücken zu melden
* Dafür schließen sich die beteiligten Parteien zusammen und vereinbaren eine Frist für die Behebung der Schwachstelle
* Je nach den potenziellen Auswirkungen der Schwachstelle, der voraussichtlichen Zeit, die für die Entwicklung einer Lösung und das Ausspielen des entsprechenden [[Patch (Software)|Patches]] benötigt wird, sowie weiteren Faktoren kann dieser Zeitraum zwischen einigen Tagen und mehreren Monaten liegen
* Teilweise stellt der Entdecker einer Schwachstelle auch dem Hersteller eine Frist, bis zu der dieser auf den Hinweis reagiert haben muss, um eine Full Disclosure zu verhindern.<ref>{{Internetquelle |url=https://cheatsheetseries.owasp.org/cheatsheets/Vulnerability_Disclosure_Cheat_Sheet.html |titel=Vulnerability Disclosure - OWASP Cheat Sheet Series |abruf=2021-08-06}}</ref>
 
Es ist industrieweit etabliert, dem Melder einer Sicherheitslücke zu danken und ggf
* zu belohnen
* Allerdings können auch per Responsible Disclosure gemeldete Sicherheitslücken strafrechtliche Konsequenzen für den Entdecker nach sich ziehen
* Ein Fallbeispiel ist der Sicherheitsforscher Patrick Webster, der herausfand, dass personenbezogene Daten einer [[Australien|australischen]] Behörde öffentlich einsehbar waren
* Da er, um diese Sicherheitslücke zu entdecken, diese Daten eingesehen hatte, wurden ihm juristische Konsequenzen angedroht; diese wurden jedoch später aufgrund des öffentlichen Drucks zurückgezogen.<ref>{{Internetquelle |url=https://fortune.com/2018/03/01/fundraising-bug-bounty-bugcrowd/ |titel=Bug Bounty Startup Raises $26 Million |sprache=en |abruf=2021-08-10}}</ref><ref>{{Literatur |Autor=Alana Maurushat |Titel=Disclosure of Security Vulnerabilities |Verlag=Springer London |Ort=London |Datum=2013 |Reihe=SpringerBriefs in Cybersecurity |ISBN=978-1-4471-5003-9 |DOI=10.1007/978-1-4471-5004-6 |Seiten=10 ff. |Online=https://link.springer.com/book/10.1007%2F978-1-4471-5004-6 |Abruf=2021-08-10}}</ref> Auch die Sicherheitsforscherin [[Lilith Wittmann]] erhielt noch 2021 eine [[Strafanzeige]], nachdem sie eine Sicherheitslücke in der Wahlkampf-App [[CDU connect]] entdeckt hatte
* Die [[CDU]] entschuldigte sich später.<ref>[https://www.heise.de/news/CDU-zieht-Anzeige-wegen-CDU-connect-App-zurueck-und-bittet-um-Entschuldigung-6155229.html CDU zieht Anzeige wegen CDU-connect-App zurück und bittet um Entschuldigung], Nico Ernst, Heise online, 4
* August 2021</ref> Im Sommer 2021 wurde eine Sicherheitslücke vom Dienstleister Modern Solution GmbH & Co
* KG mit Sitz in Gladbeck bekannt, durch die personenbezogene Daten direkt übers Internet eingesehen werden konnten
* Der Entwickler wurde trotz mehrfachen, erfolglosen Kommunikationsversuchen mit dem Dienstleister von diesem wegen Datenhehlerei und Eindringen in Computersysteme angezeigt.<ref>[https://www.heise.de/news/Datenleck-Anzeige-gegen-IT-Experte-kam-von-Modern-Solution-6254839.html Datenleck: Anzeige gegen IT-Experte kam von Modern Solution], Fabian A
* Scherschel, Heise online, 5
* November 2021</ref>
 
<noinclude>
== Anhang ==
=== Siehe auch ===
* [[Full disclosure]]
{{Special:PrefixIndex/{{BASEPAGENAME}}}}


Es ist industrieweit etabliert, dem Melder einer Sicherheitslücke zu danken und ggf. zu belohnen. Allerdings können auch per Responsible Disclosure gemeldete Sicherheitslücken strafrechtliche Konsequenzen für den Entdecker nach sich ziehen. Ein Fallbeispiel ist der Sicherheitsforscher Patrick Webster, der herausfand, dass personenbezogene Daten einer [[Australien|australischen]] Behörde öffentlich einsehbar waren. Da er, um diese Sicherheitslücke zu entdecken, diese Daten eingesehen hatte, wurden ihm juristische Konsequenzen angedroht; diese wurden jedoch später aufgrund des öffentlichen Drucks zurückgezogen.<ref>{{Internetquelle |url=https://fortune.com/2018/03/01/fundraising-bug-bounty-bugcrowd/ |titel=Bug Bounty Startup Raises $26 Million |sprache=en |abruf=2021-08-10}}</ref><ref>{{Literatur |Autor=Alana Maurushat |Titel=Disclosure of Security Vulnerabilities |Verlag=Springer London |Ort=London |Datum=2013 |Reihe=SpringerBriefs in Cybersecurity |ISBN=978-1-4471-5003-9 |DOI=10.1007/978-1-4471-5004-6 |Seiten=10 ff. |Online=https://link.springer.com/book/10.1007%2F978-1-4471-5004-6 |Abruf=2021-08-10}}</ref> Auch die Sicherheitsforscherin [[Lilith Wittmann]] erhielt noch 2021 eine [[Strafanzeige]], nachdem sie eine Sicherheitslücke in der Wahlkampf-App [[CDU connect]] entdeckt hatte. Die [[CDU]] entschuldigte sich später.<ref>[https://www.heise.de/news/CDU-zieht-Anzeige-wegen-CDU-connect-App-zurueck-und-bittet-um-Entschuldigung-6155229.html CDU zieht Anzeige wegen CDU-connect-App zurück und bittet um Entschuldigung], Nico Ernst, Heise online, 4. August 2021</ref> Im Sommer 2021 wurde eine Sicherheitslücke vom Dienstleister Modern Solution GmbH & Co. KG mit Sitz in Gladbeck bekannt, durch die personenbezogene Daten direkt übers Internet eingesehen werden konnten. Der Entwickler wurde trotz mehrfachen, erfolglosen Kommunikationsversuchen mit dem Dienstleister von diesem wegen Datenhehlerei und Eindringen in Computersysteme angezeigt.<ref>[https://www.heise.de/news/Datenleck-Anzeige-gegen-IT-Experte-kam-von-Modern-Solution-6254839.html Datenleck: Anzeige gegen IT-Experte kam von Modern Solution], Fabian A. Scherschel, Heise online, 5. November 2021</ref>
==== Links ====
===== Weblinks =====
# https://de.wikipedia.org/wiki/Responsible_Disclosure_(IT-Sicherheit)


[[Kategorie:Sicherheitslücke]]
[[Kategorie:Sicherheitslücke]]
Zeile 14: Zeile 42:
[[Kategorie:Informatik]]
[[Kategorie:Informatik]]


# [[Full disclosure]]
</noinclude>

Aktuelle Version vom 1. November 2024, 14:43 Uhr

Responsible Disclosure - Beschreibung

Beschreibung

Responsible Disclosure ist ein Verfahren zur Offenlegung von Sicherheitslücken, bei dem die Schwachstelle zuerst den Entwicklern gemeldet und erst nach einer angemessenen Frist zur Behebung veröffentlicht wird.[1]

Zusätzlich gibt es die Full Disclosure, bei der direkt die Öffentlichkeit informiert wird, sowie die Private Disclosure, bei der die Details nicht öffentlich gemacht werden

Verfahren

Die Entwickler von Hard- und Software benötigen im Allgemeinen Zeit und Ressourcen, um ihre Fehler zu beheben

  • Viele Ethische Hacker sind der Meinung, dass es ihre soziale Verantwortung ist, die Öffentlichkeit auf Schwachstellen aufmerksam zu machen, ohne sie unnötig zu gefährden
  • Das Verschweigen dieser Probleme könnte bei Nutzern ein Gefühl falscher Sicherheit hervorrufen und ermöglicht, dass Hintertüren weiter existieren können
  • Daher liegt es in der empfundenen Verantwortung, solche Lücken zu melden
  • Dafür schließen sich die beteiligten Parteien zusammen und vereinbaren eine Frist für die Behebung der Schwachstelle
  • Je nach den potenziellen Auswirkungen der Schwachstelle, der voraussichtlichen Zeit, die für die Entwicklung einer Lösung und das Ausspielen des entsprechenden Patches benötigt wird, sowie weiteren Faktoren kann dieser Zeitraum zwischen einigen Tagen und mehreren Monaten liegen
  • Teilweise stellt der Entdecker einer Schwachstelle auch dem Hersteller eine Frist, bis zu der dieser auf den Hinweis reagiert haben muss, um eine Full Disclosure zu verhindern.[2]

Es ist industrieweit etabliert, dem Melder einer Sicherheitslücke zu danken und ggf

  • zu belohnen
  • Allerdings können auch per Responsible Disclosure gemeldete Sicherheitslücken strafrechtliche Konsequenzen für den Entdecker nach sich ziehen
  • Ein Fallbeispiel ist der Sicherheitsforscher Patrick Webster, der herausfand, dass personenbezogene Daten einer australischen Behörde öffentlich einsehbar waren
  • Da er, um diese Sicherheitslücke zu entdecken, diese Daten eingesehen hatte, wurden ihm juristische Konsequenzen angedroht; diese wurden jedoch später aufgrund des öffentlichen Drucks zurückgezogen.[3][4] Auch die Sicherheitsforscherin Lilith Wittmann erhielt noch 2021 eine Strafanzeige, nachdem sie eine Sicherheitslücke in der Wahlkampf-App CDU connect entdeckt hatte
  • Die CDU entschuldigte sich später.[5] Im Sommer 2021 wurde eine Sicherheitslücke vom Dienstleister Modern Solution GmbH & Co
  • KG mit Sitz in Gladbeck bekannt, durch die personenbezogene Daten direkt übers Internet eingesehen werden konnten
  • Der Entwickler wurde trotz mehrfachen, erfolglosen Kommunikationsversuchen mit dem Dienstleister von diesem wegen Datenhehlerei und Eindringen in Computersysteme angezeigt.[6]


Anhang

Siehe auch

Links

Weblinks
  1. https://de.wikipedia.org/wiki/Responsible_Disclosure_(IT-Sicherheit)


  1. ↑
  2. ↑
  3. ↑
  4. ↑ Vorlage:Literatur
  5. ↑ CDU zieht Anzeige wegen CDU-connect-App zurück und bittet um Entschuldigung, Nico Ernst, Heise online, 4
    • August 2021
  6. ↑ Datenleck: Anzeige gegen IT-Experte kam von Modern Solution, Fabian A
    • Scherschel, Heise online, 5
    • November 2021
Abgerufen von „https://wiki.foxtom.de/index.php?title=Responsible_Disclosure&oldid=113468“