Google Project Zero macht Schwachstellen generell nach 90 Tagen öffentlich

Google hat neue Regeln für die Offenlegung von Schwachstellen angekündigt, die von Mitarbeitern seines Project Zero entdeckt wurden. Künftig soll die Frist von 90 Tagen generell gelten, auch falls ein Hersteller schon deutlich früher einen Patch bereitstellt.

Derzeit soll die 90-Tage-Frist vor allem dafür sorgen, dass Softwareanbieter ihre Patches zeitnah entwickeln. Gelingt es einem Entwickler nicht, in dieser Zeit ein Update zu erstellen, macht der jeweilige Google-Mitarbeiter die Details zu der Schwachstelle öffentlich, um den Druck auf den Hersteller zu erhöhen – was aber zugleich auch das Risiko erhöht, dass eine Zero-Day-Lücke aktiv von Hackern ausgenutzt wird.

Künftig wird Google mit einer Veröffentlichung von Details immer 90 Tage warten, egal wann ein Patch bereitgestellt wurde. Google will so einen Anreiz schaffen, dass Hersteller nicht nur schneller ihre Fixes entwickeln, sondern auch qualitativ hochwertige Patches. Außerdem soll Nutzer so mehr Zeit gegeben werden, verfügbare Updates zu installieren.

„Zu oft haben wir gesehen, wie Hersteller gemeldete Schwachstellen gepatcht haben, indem sie ‚über die Risse streichen‘ und keine Varianten in Betracht ziehen oder die Grundursache einer Schwachstelle beseitigen“, erklärte Tim Willis, Manager von Project Zero. „Eine Sorge hierbei ist, dass unser Ziel der ’schnelleren Patch-Entwicklung‘ dieses Problem verschlimmern könnte, so dass es für Angreifer viel zu einfach ist, ihre Exploits wiederzubeleben und weiterhin Benutzer mit wenig Aufwand anzugreifen.“

Zudem verbessere sich die Sicherheit beim Endnutzer nicht, wenn ein Fehler entdeckt oder behoben werden. „Sie verbessert sich erst, wenn der Nutzer auf den Fehler aufmerksam wird und sein Gerät patcht“, ergänzte Willis.

Neu ist auch, dass die Fehlerberichte von Project Zero künftig automatisch an Tag 90 der Frist veröffentlicht werden. Zuvor nahm sich Google zwar schon dieses Recht heraus, für den Termin der Veröffentlichung war jedoch der jeweilige Google-Mitarbeiter verantwortlich.

Grundsätzlich stuft Google die Regeln seines Project Zero als Erfolg ein. „Zu der Zeit, als das Project Zero 2014 startete, vergingen bei einigen Problemen mehr als sechs Monate bis zu einem Update. Schauen wir aufs Jahr 2019 und 97,7 Prozent aller Fehler werden innerhalb der Frist behoben“, so Willis weiter. Darüber hinaus gebe es immer noch die mögliche Firstverlängerung von bis zu 14 Tagen.

Eine weitere Firstverlängerung schließt Google eigentlich aus. In zwei Fällen wich das Unternehmen allerdings bereits von dieser Regel ab: 2016 bei einem schwerwiegenden Bug in iOS und 2018 bei den CPU-Sicherheitslücken Meltdown und Spectre.

WEBINAR

HPE GreenLake: Optimale Basis für Ihre Cloud

HPE GreenLake ist ein IT-as-a-Service-Angebot, das das Cloud-Erlebnis in Ihre On-Premises-Infrastruktur bringt und Ihre Edges, Clouds und Rechenzentren vereinheitlicht. Lernen Sie in diesem Webinar, wie Sie die Vorteile der HPE-Lösung optimal für Ihr Unternehmen nutzen.

Stefan Beiersmann @beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Chrome 81 unterstützt Web NFC Standard

Der Browser liest und schreibt NFC-Tags. Chrome 81 blockiert zudem das Laden unverschlüsselter Inhalte bei bestehender HTTPS-Verbindung. Außerdem verlängert auch…

11 Stunden ago

Firefox 75: Mozilla überarbeitet Adressleiste und schließt Sicherheitslücken

Die neue Adressleiste vereinfacht die Suche im Internet. Mozilla verbessert außerdem die Kompatibilität zu falsch konfigurierten HTTPS-Servern. Firefox 75 enthält…

11 Stunden ago

IDC empfiehlt für Private und Hybrid Cloud as-a-Service als Betriebs- und Beschaffungsmodell

Die Cloud hat sich durchgesetzt, allerdings nicht als flächendeckende Public Cloud. Vielmehr entstehen vor allem Infrastrukturen mit einem Private-Cloud-Kern und…

13 Stunden ago

Italienischer E-Mail-Provider gehackt – Täter erbeuten Nachrichten und Dateien

Einer No Name genannten Gruppe fallen mehr als 5 TByte Daten in die Hände. Neben Nachrichten und Anhängen sind auch…

15 Stunden ago

Patchday: Google schließt 69 Sicherheitslücken in Android

13 Anfälligkeiten erhalten die höchste Bewertung "kritisch". Betroffen sind alle unterstützten OS-Versionen von Android 8 bis Android 10. Auch LG…

16 Stunden ago

Über 350.000 Exchange-Server anfällig für Angriffe

Obwohl Microsoft bereits im Februar einen Patch für die Lücke CVE-2020-0688 veröffentlicht hatte, sind aktuell noch über 350.000 Exchange-Server anfällig…

1 Tag ago