Microsoft will keine Belohnung für Sicherheitslücken zahlen

Das Unternehmen streitet derzeit mit Google über den richtigen Umgang mit entdeckten Sicherheitslücken. Google will Details zu Bugs spätestens 60 Tage nach ihrer Entdeckung veröffentlichen. Microsoft lehnt das ab.

Microsoft will sich nicht der Praxis von Google und Mozilla anschließen, für entdeckte Sicherheitslücken eine Belohnung zu zahlen. Das erklärte Jerry Bryant, Sicherheitsbeauftragter bei Microsoft, gegenüber dem Blog Threatpost. Die derzeitige Regelung, die Entdecker in den Security-Bulletins zu erwähnen, funktioniere sehr gut.

Mozilla und Google haben hingegen angekündigt, ihre Belohnungen zu erhöhen. Gerüchten zufolge wollen die beiden Unternehmen in Zukunft um die 3000 Dollar (etwa 2320 Euro) pro gefundener Lücke zahlen.

Microsoft und Google führen seit einiger Zeit eine Diskussion darüber, wie mit entdeckten Sicherheitslücken umzugehen ist. Google hält es für richtig, Informationen über eine Sicherheitslücke innerhalb von 60 Tagen zu veröffentlichen. Obwohl jeder Bug einzigartig sei, müssten 60 Tage als angemessene Obergrenze für weitverbreitete Software ausreichen. Das gelte nur für kritische Lücken. Einige Bugs seien fälschlicherweise als kritisch eingestuft.

Microsoft folgte zwei Tage später mit einer Erklärung, dass es seine Strategie im Umgang mit entdeckten Sicherheitslücken ändern werde und kündigte seine „Coordinated Vulnerability Disclosure Policy“ (CVD) an.

Darin gibt Microsoft erstmals zu, dass es erforderlich ist, Details zu einem Bugs zu veröffentlichen, wenn bereits Angriffe erfolgen, unabhängig davon, ob ein Patch verfügbar ist. Von einer Obergrenze für die Veröffentlichung will Microsoft aber nichts wissen. Stattdessen sollten sich Entdecker und Softwarehersteller gemeinsam auf einen Zeitplan einigen.

Ausgelöst wurde die Diskussion dadurch, dass Google-Sicherheitsforscher Tavis Ormandy Details einer Zero-Day-Lücke in der Windows-Funktion „Hilfe und Support“ (Help and Security Center) veröffentlicht hatte, ohne Microsoft Zeit zu geben, einen Patch zu entwickeln.

Themenseiten: Hacker, Microsoft, Windows

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Whitepaper

ZDNet für mobile Geräte
ZDNet-App für Android herunterladen Lesen Sie ZDNet-Artikel in Google Currents ZDNet-App für iOS

Artikel empfehlen:

Neueste Kommentare 

Noch keine Kommentare zu Microsoft will keine Belohnung für Sicherheitslücken zahlen

Kommentar hinzufügen

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *