Full disclosure: Unterschied zwischen den Versionen
Keine Bearbeitungszusammenfassung |
|||
| Zeile 1: | Zeile 1: | ||
'''Full disclosure''' - | '''Full disclosure''' - Sämtliche Informationen über eine Sicherheitslücke sofort und ohne Absprache mit den verantwortlichen Stellen allgemein zugänglich zu veröffentlichen | ||
== Beschreibung == | == Beschreibung == | ||
Finden unabhängige IT-Sicherheitsexperten Schwachstellen in Computerprogrammen, sogenannte [[Sicherheitslücke]]n, gibt es für sie mehrere Möglichkeiten der Offenlegung | Finden unabhängige IT-Sicherheitsexperten Schwachstellen in Computerprogrammen, sogenannte [[Sicherheitslücke]]n, gibt es für sie mehrere Möglichkeiten der Offenlegung | ||
* Hierdurch werden Benutzer frühzeitig gewarnt; [[Hacker (Computersicherheit)|Hacker]] können allerdings die Schwachstelle potentiell ausnutzen, bevor diese durch den Hersteller geschlossen werden kann | * Full Disclosure bezeichnet die Praxis, sämtliche Informationen über die Sicherheitslücke sofort und ohne Absprache mit den verantwortlichen Stellen allgemein zugänglich zu veröffentlichen | ||
* Hierdurch werden Benutzer frühzeitig gewarnt; [[Hacker (Computersicherheit)|Hacker]] können allerdings die Schwachstelle potentiell ausnutzen, bevor diese durch den Hersteller geschlossen werden kann | |||
Ein alternativer Ansatz ist die [[Responsible Disclosure (IT-Sicherheit)|Responsible Disclosure]] | Ein alternativer Ansatz ist die [[Responsible Disclosure (IT-Sicherheit)|Responsible Disclosure]] | ||
* Hierbei wird die Offenlegung mit dem Hersteller abgestimmt und die breite Öffentlichkeit erst informiert, sobald die Sicherheitslücke behoben wurde | * Hierbei wird die Offenlegung mit dem Hersteller abgestimmt und die breite Öffentlichkeit erst informiert, sobald die Sicherheitslücke behoben wurde | ||
Ein Grund, warum sich der Entdecker der Schwachstelle für eine Full Disclosure entscheidet, könnte beispielsweise sein, dass der Hersteller auf den Hinweis nicht reagierte oder das Problem kleinredete | Ein Grund, warum sich der Entdecker der Schwachstelle für eine Full Disclosure entscheidet, könnte beispielsweise sein, dass der Hersteller auf den Hinweis nicht reagierte oder das Problem kleinredete | ||
* Indem der Hacker die Sicherheitslücke veröffentlicht, kann so Druck ausgeübt werden | * Indem der Hacker die Sicherheitslücke veröffentlicht, kann so Druck ausgeübt werden | ||
* Im Allgemeinen ist der Ansatz der Full Disclosure jedoch sehr umstritten und wird von vielen als unverantwortlich angesehen | * Im Allgemeinen ist der Ansatz der Full Disclosure jedoch sehr umstritten und wird von vielen als unverantwortlich angesehen | ||
* Er sollte nur als letzter Ausweg genutzt werden, wenn andere Maßnahmen fehlschlugen oder [[Schadprogramm|Schadcode]] für die Schwachstelle bereits im Umlauf ist | * Er sollte nur als letzter Ausweg genutzt werden, wenn andere Maßnahmen fehlschlugen oder [[Schadprogramm|Schadcode]] für die Schwachstelle bereits im Umlauf ist | ||
Um eine Full Disclosure zu verhindern, bieten viele Unternehmen sogenannte [[Bug-Bounty-Programm|Bug-Bounty-Programme]] an | Um eine Full Disclosure zu verhindern, bieten viele Unternehmen sogenannte [[Bug-Bounty-Programm|Bug-Bounty-Programme]] an | ||
* Hierbei werden Prämien für das Finden von Schwachstellen ausgelobt; so zahlte beispielsweise Facebook 1,98 Millionen und Google 6,7 Millionen US-Dollar im Jahr 2020 aus | |||
* Teilweise verpflichtet sich der Hacker im Gegenzug dazu, Stillschweigen über seine Funde zu bewahren, in diesem Fall spricht man dann von einer Private Disclosure | |||
<noinclude> | <noinclude> | ||
Aktuelle Version vom 25. November 2024, 20:58 Uhr
Full disclosure - Sämtliche Informationen über eine Sicherheitslücke sofort und ohne Absprache mit den verantwortlichen Stellen allgemein zugänglich zu veröffentlichen
Beschreibung
Finden unabhängige IT-Sicherheitsexperten Schwachstellen in Computerprogrammen, sogenannte Sicherheitslücken, gibt es für sie mehrere Möglichkeiten der Offenlegung
- Full Disclosure bezeichnet die Praxis, sämtliche Informationen über die Sicherheitslücke sofort und ohne Absprache mit den verantwortlichen Stellen allgemein zugänglich zu veröffentlichen
- Hierdurch werden Benutzer frühzeitig gewarnt; Hacker können allerdings die Schwachstelle potentiell ausnutzen, bevor diese durch den Hersteller geschlossen werden kann
Ein alternativer Ansatz ist die Responsible Disclosure
- Hierbei wird die Offenlegung mit dem Hersteller abgestimmt und die breite Öffentlichkeit erst informiert, sobald die Sicherheitslücke behoben wurde
Ein Grund, warum sich der Entdecker der Schwachstelle für eine Full Disclosure entscheidet, könnte beispielsweise sein, dass der Hersteller auf den Hinweis nicht reagierte oder das Problem kleinredete
- Indem der Hacker die Sicherheitslücke veröffentlicht, kann so Druck ausgeübt werden
- Im Allgemeinen ist der Ansatz der Full Disclosure jedoch sehr umstritten und wird von vielen als unverantwortlich angesehen
- Er sollte nur als letzter Ausweg genutzt werden, wenn andere Maßnahmen fehlschlugen oder Schadcode für die Schwachstelle bereits im Umlauf ist
Um eine Full Disclosure zu verhindern, bieten viele Unternehmen sogenannte Bug-Bounty-Programme an
- Hierbei werden Prämien für das Finden von Schwachstellen ausgelobt; so zahlte beispielsweise Facebook 1,98 Millionen und Google 6,7 Millionen US-Dollar im Jahr 2020 aus
- Teilweise verpflichtet sich der Hacker im Gegenzug dazu, Stillschweigen über seine Funde zu bewahren, in diesem Fall spricht man dann von einer Private Disclosure
Anhang
Siehe auch
Links
Weblinks