„RFPolicy“ – Versionsunterschied
| [ungesichtete Version] | [gesichtete Version] |
+QS: Kategorien fehlen |
Xenein (Diskussion | Beiträge) Linkvorschlag-Funktion: 2 Links hinzugefügt. |
||
| (22 dazwischenliegende Versionen von 16 Benutzern werden nicht angezeigt) | |||
| Zeile 1: | Zeile 1: | ||
| ⚫ | Die '''RFPolicy''' beschreibt eine Methode, [[Hersteller]] auf gefundene [[Sicherheitslücke (Software)|Sicherheitslücken]] in ihrer [[Software]] aufmerksam zu machen. Sie wurde ursprünglich von dem [[Hacker]] und [[IT-Sicherheit]]sberater [[Rain Forest Puppy]] geschrieben.<ref>{{Webarchiv|url=http://www.pcworld.com/article/63944/three_minutes_with_rain_forest_puppy.html |wayback=20120105001011 |text=Three Minutes with Rain Forest Puppy |archiv-bot=2019-05-08 19:42:13 InternetArchiveBot }} - PC World, 29 Sep 2001</ref> |
||
{{QS-Antrag|3. März 2012| [[WP:Wikifizieren]]: [[Wikipedia:Kategorien|Kategorien]] fehlen -- [[Benutzer:MerlBot/AutoQS|MerlBot]] 06:09, 3. Mär. 2012 (CET)}} |
|||
| ⚫ | Die '''RFPolicy''' beschreibt eine Methode, [[Hersteller]] |
||
Das Verfahren gibt dem Hersteller fünf Werktage Zeit, um auf den Fehler zu reagieren. Wenn der Hersteller in dieser Zeit den Meldenden nicht kontaktiert, sollte der Sachverhalt veröffentlicht werden. Der Meldende sollte dem Hersteller |
Das Verfahren gibt dem Hersteller fünf Werktage Zeit, um auf den Fehler zu reagieren. Wenn der Hersteller in dieser Zeit den Meldenden nicht kontaktiert, sollte der Sachverhalt veröffentlicht werden. Der Meldende sollte dem Hersteller beim [[Reproduzierbarkeit#Technik|Reproduzieren]] des Fehlers helfen und einen [[Bugfix]] bereitstellen. Gibt der Hersteller triftige Gründe an, warum das Problem nicht behoben werden konnte, sollte die Veröffentlichung verzögert werden. |
||
Bei |
Bei dem Schließen der Sicherheitslücke sollte der Hersteller die Meldung oder den Bugfix angemessen erwähnen. |
||
Die gezielte Ausnutzung einer gefundenen [[Sicherheitslücke (Software)|Sicherheitslücke]] [[Computerkriminalität|für kriminelle Zwecke]] nennt man [[Exploit]]. Solange noch kein Bugfix oder Gegenmittel existiert ist es ein ''Zero-Day-Exploit''. |
|||
| ⚫ | |||
Sogenannte White-Hat-Hacker wenden die RFPolicy (oder vergleichbares) an, da sie Computersicherheit verbessern wollen. Dagegen planen Black-Hat-Hacker nach dem Fund einer Sicherheitslücke einen möglichst effektiven Exploit. |
|||
== Gründe gegen die RFPolicy == |
|||
Gegen die Meldung einer Sicherheitslücke gemäß der RFPolicy sprechen zum einen die subjektiven Beweggründe einzelner Hacker. Dazu gehören zum Beispiel das Streben nach Aufmerksamkeit, Erpressung, Spionage, Sabotage, Machbarkeits-Nachweise ([[Proof of Concept]]) oder der gewinnbringende Verkauf des Wissen über das Exploit. |
|||
Zum anderen gibt es politische Gründe von Seiten staatlicher Einrichtungen. Geheimdienste verwenden Exploits für Aufklärung oder auch Sabotage (siehe [[Cyberkrieg]]).<ref>{{Internetquelle | autor= | url=https://www.sueddeutsche.de/digital/wanna-cry-microsoft-sieht-regierungen-in-der-mitverantwortung-fuer-hackerangriff-1.3505871 | titel=Wanna Cry: Microsoft macht Regierungen Vorwürfe | werk=[[sueddeutsche.de]] | datum=2017-05-15 |abruf=2024-01-28}}</ref> |
|||
Staatliche Geheimdienste verwenden die Kenntnisse über Sicherheitslücken gezielt für ihre Arbeit und melden sie in der Regel nicht den Herstellern. Es gilt mittlerweile als gesichert, dass Geheimdienste der USA in Zusammenarbeit mit israelischen Agenten [[Stuxnet]] entwickelt haben, eine Kombination aus [[Computerwurm|Wurm]] und [[Rootkit]]. Das Programm nutzt auf direktem und indirektem Weg unzählige Sicherheitslücken verschiedenster Systeme aus. |
|||
2017 wurde vom [[Ransomware]]-Wurm [[WannaCry]] ein Bug in [[Microsoft Windows|Windows-Betriebssystemen]] ausgenutzt. Dieser war einem amerikanischen Geheimdienst seit Jahren bekannt, aber vermutlich zur eigenen Nutzung geheim gehalten. Wegen eines Informationslecks wurden Details dazu schließlich bekannt, und [[Microsoft]] wurde doch noch in Kenntnis gesetzt. Die Sicherheitsupdates konnten sich aber nicht mehr schnell genug etablieren, WannyCry infizierte dennoch geschätzte 230.000 Rechner. In der Folge warf Microsofts Präsident und Rechtsvorstand Brad Smith der [[National Security Agency|NSA]] und der [[Central Intelligence Agency|CIA]] vor, dass sie sich des Schadens für Zivilpersonen bewusst werden müssen, den Geheimdienste durch das Ansammeln und Ausnutzen solcher Software-Sicherheitsprobleme anrichten<ref>{{Internetquelle |autor=Alyssa Newcomb |url=https://www.nbcnews.com/storyline/hacking-of-america/microsoft-comes-out-swinging-nsa-over-wannacry-hack-attack-n759726 |titel=Microsoft Comes out Swinging at NSA Over WannaCry Hack Attack |werk=nbcnews.com |sprache=en |datum=2017-05-15 |abruf=2024-03-02}}</ref>. ''"Wir haben gesehen, dass von der CIA gespeicherte Sicherheitslücken in WikiLeaks angezeigt werden. Und jetzt hat diese von der NSA gestohlene Sicherheitslücke unsere Kunden auf der ganzen Welt geschädigt."'' ("We have seen vulnerabilities stored by the CIA show up on [[WikiLeaks]], and now this vulnerability stolen from the NSA has affected customers around the world.")<ref>{{Internetquelle |autor=Bill Chappell |url=https://www.npr.org/sections/thetwo-way/2017/05/15/528439968/wannacry-ransomware-microsoft-calls-out-nsa-for-stockpiling-vulnerabilities?t=1591664819424 |titel=WannaCry Ransomware: Microsoft Calls Out NSA For 'Stockpiling' Vulnerabilities : The Two-Way : NPR |werk=npr.org |sprache=en |datum=2017-05-15 |abruf=2024-02-29}}</ref> |
|||
| ⚫ | |||
<references /> |
<references /> |
||
== Weblinks == |
== Weblinks == |
||
* [http://www.wiretrip.net/p/libwhisker.html RFPolicy v2.0] |
* [http://www.wiretrip.net/p/libwhisker.html RFPolicy v2.0] |
||
[[Kategorie:IT-Sicherheit]] |
|||
[[en:RFPolicy]] |
|||
[[Kategorie:Fehlermanagement (Softwaretechnik)]] |
|||
[[hu:RFPolicy]] |
|||
Aktuelle Version vom 6. November 2024, 04:47 Uhr
Die RFPolicy beschreibt eine Methode, Hersteller auf gefundene Sicherheitslücken in ihrer Software aufmerksam zu machen. Sie wurde ursprünglich von dem Hacker und IT-Sicherheitsberater Rain Forest Puppy geschrieben.[1]
Das Verfahren gibt dem Hersteller fünf Werktage Zeit, um auf den Fehler zu reagieren. Wenn der Hersteller in dieser Zeit den Meldenden nicht kontaktiert, sollte der Sachverhalt veröffentlicht werden. Der Meldende sollte dem Hersteller beim Reproduzieren des Fehlers helfen und einen Bugfix bereitstellen. Gibt der Hersteller triftige Gründe an, warum das Problem nicht behoben werden konnte, sollte die Veröffentlichung verzögert werden.
Bei dem Schließen der Sicherheitslücke sollte der Hersteller die Meldung oder den Bugfix angemessen erwähnen.
Die gezielte Ausnutzung einer gefundenen Sicherheitslücke für kriminelle Zwecke nennt man Exploit. Solange noch kein Bugfix oder Gegenmittel existiert ist es ein Zero-Day-Exploit.
Sogenannte White-Hat-Hacker wenden die RFPolicy (oder vergleichbares) an, da sie Computersicherheit verbessern wollen. Dagegen planen Black-Hat-Hacker nach dem Fund einer Sicherheitslücke einen möglichst effektiven Exploit.
Gründe gegen die RFPolicy
[Bearbeiten | Quelltext bearbeiten]Gegen die Meldung einer Sicherheitslücke gemäß der RFPolicy sprechen zum einen die subjektiven Beweggründe einzelner Hacker. Dazu gehören zum Beispiel das Streben nach Aufmerksamkeit, Erpressung, Spionage, Sabotage, Machbarkeits-Nachweise (Proof of Concept) oder der gewinnbringende Verkauf des Wissen über das Exploit.
Zum anderen gibt es politische Gründe von Seiten staatlicher Einrichtungen. Geheimdienste verwenden Exploits für Aufklärung oder auch Sabotage (siehe Cyberkrieg).[2]
Staatliche Geheimdienste verwenden die Kenntnisse über Sicherheitslücken gezielt für ihre Arbeit und melden sie in der Regel nicht den Herstellern. Es gilt mittlerweile als gesichert, dass Geheimdienste der USA in Zusammenarbeit mit israelischen Agenten Stuxnet entwickelt haben, eine Kombination aus Wurm und Rootkit. Das Programm nutzt auf direktem und indirektem Weg unzählige Sicherheitslücken verschiedenster Systeme aus.
2017 wurde vom Ransomware-Wurm WannaCry ein Bug in Windows-Betriebssystemen ausgenutzt. Dieser war einem amerikanischen Geheimdienst seit Jahren bekannt, aber vermutlich zur eigenen Nutzung geheim gehalten. Wegen eines Informationslecks wurden Details dazu schließlich bekannt, und Microsoft wurde doch noch in Kenntnis gesetzt. Die Sicherheitsupdates konnten sich aber nicht mehr schnell genug etablieren, WannyCry infizierte dennoch geschätzte 230.000 Rechner. In der Folge warf Microsofts Präsident und Rechtsvorstand Brad Smith der NSA und der CIA vor, dass sie sich des Schadens für Zivilpersonen bewusst werden müssen, den Geheimdienste durch das Ansammeln und Ausnutzen solcher Software-Sicherheitsprobleme anrichten[3]. "Wir haben gesehen, dass von der CIA gespeicherte Sicherheitslücken in WikiLeaks angezeigt werden. Und jetzt hat diese von der NSA gestohlene Sicherheitslücke unsere Kunden auf der ganzen Welt geschädigt." ("We have seen vulnerabilities stored by the CIA show up on WikiLeaks, and now this vulnerability stolen from the NSA has affected customers around the world.")[4]
Einzelnachweise
[Bearbeiten | Quelltext bearbeiten]- ↑ Three Minutes with Rain Forest Puppy ( des vom 5. Januar 2012 im Internet Archive) Info: Der Archivlink wurde automatisch eingesetzt und noch nicht geprüft. Bitte prüfe Original- und Archivlink gemäß Anleitung und entferne dann diesen Hinweis. - PC World, 29 Sep 2001
- ↑ Wanna Cry: Microsoft macht Regierungen Vorwürfe. In: sueddeutsche.de. 15. Mai 2017, abgerufen am 28. Januar 2024.
- ↑ Alyssa Newcomb: Microsoft Comes out Swinging at NSA Over WannaCry Hack Attack. In: nbcnews.com. 15. Mai 2017, abgerufen am 2. März 2024 (englisch).
- ↑ Bill Chappell: WannaCry Ransomware: Microsoft Calls Out NSA For 'Stockpiling' Vulnerabilities : The Two-Way : NPR. In: npr.org. 15. Mai 2017, abgerufen am 29. Februar 2024 (englisch).
