Google’s Cybersecurity-Team Project Zero ändert Vorgehensweise bei Publikationen

Copyright © Shutterstock / Gorodenkoff

Wenn das Cybersecurity-Team von Google eine Sicherheitslücke bei einem Online-Dienst findet, informiert es den verantwortlichen Anbieter sofort über die aufgedeckten Fehler. Dieser hat von da an 90 Tage Zeit, um das Sicherheitsrisiko durch ein Patch zu beheben. Stellt das betroffene Unternehmen innerhalb dieser Frist keine Problemlösung bereit, publiziert Project Zero die entdeckte Lücke und macht damit die Öffentlichkeit damit aufmerksam. Wird das Problem eher behoben, veröffentlicht Google mit der Bereitstellung des Patches die entsprechenden Informationen. Doch das soll sich jetzt ändern.

Höhere Patch-Qualität und mehr Zeit für Anwender

Zwar würden nahezu 98 Prozent aller Hersteller aufgedeckte Sicherheitslücken binnen der gesetzten Frist beheben. Allerdings leide die Qualität der bereitgestellten Problemlösungen unter dem Zeitdruck. Fertiggestellte Patches würden gemeldete Risiken oftmals nicht vollständig abdecken. Außerdem sorgen sich die Cybersecurity-Experten von Project Zero, dass vielen Nutzern nicht genug Zeit bliebe, ein Patch rechtzeitig zu installieren. Da die Publikation durch Google zeitgleich mit der Bereitstellung eines betreffenden Software-Updates erfolgt, hätten arglistige Hacker somit die Möglichkeit, die sehr kurze Installationsfrist auszunutzen.

Aus diesen Gründen wird nun die unbedingte Frist von 90 Tagen eingeführt. Das erklärt Google’s Project Zero in einem offiziellen Blogbeitrag. Auch wenn ein Hersteller die gemeldete Sicherheitslücke vor der 90-Tages-Frist behebt, wird dies ab sofort nicht vorzeitig veröffentlicht. So soll sowohl den betreffenden Online-Diensten als auch den Nutzern mehr Zeit eingeräumt werden, hochwertige Patches zur Verfügung zu stellen bzw. diese rechtzeitig zu installieren. Zum Jahresende will die Suchmaschine den Erfolg dieser Maßnahme evaluieren.

Quelle: t3n.de