GitHub: Studie zu Entwicklern und Sicherheitsforschern

Eine neue Studie des GitHub Security Lab liefert Einblicke in die Beziehung zwischen Entwicklern und Sicherheitsforschern während des Prozesses der Offenlegung von Sicherheitslücken. [...]

(c) github.blog

Im Dezember 2020 hat GitLab angekündigt, dass es seine Forschung ausweiten will, um mehr über die Beziehung zwischen der Entwickler- und der Sicherheitsforschungsgemeinschaft zu erfahren. Die Beziehung zwischen Entwicklern und Sicherheitsforschern war in der Vergangenheit manchmal angespannt. Um diese Dynamik besser zu verstehen, hat GitLab seine Forschung auf den Prozess der Offenlegung von Schwachstellen konzentriert, bei dem beide Gemeinschaften zusammenarbeiten müssen, um potenzielle Bedrohungen zu beseitigen.

Derzeit gibt es keinen Standardprozess zur Offenlegung von Schwachstellen für die breitere Sicherheitsforschungsgemeinschaft. Stattdessen haben Einrichtungen wie Googles Project Zero, das GitHub Security Lab, Snyk, HackerOne und VuSec ihre eigenen Verfahren zur Offenlegung von Schwachstellen. In einem System, dem es an Einheitlichkeit mangelt, kann das Verständnis der Beziehungen zwischen den Beteiligten zu effektiveren Maßnahmen zur Behebung von Schwachstellen führen, was letztlich zu einem sichereren und kooperativeren Ökosystem führt.

Das GitHub Security Lab hat zwischen November 2020 und März 2021 qualitative Umfragen unter Open-Source-Maintainern per Ferninterview durchgeführt Die berichteten Ergebnisse sind in drei Kategorien unterteilt:

  • Dynamiken zwischen Maintainern und Sicherheitsforschern: Die Maintainer, die an der Studie teilgenommen haben, hatten über den Prozess der Offenlegung von Sicherheitslücken hinaus wenig bis gar keinen Kontakt zur Sicherheitsforschungsgemeinschaft. Während die Interaktionen, die stattfanden, positiv sein konnten, empfanden viele Maintainer die Sicherheitsforschungsgemeinschaft nicht als besonders einladend. Trotzdem sind die Maintainer offen dafür, grundlegende Informationen über die Sicherheitsforschung zu erfahren.
  • Kommunikationspräferenzen der Maintainer: Wenn sie Meldungen über Sicherheitslücken erhalten, erleben die Maintainer typischerweise eine Reihe von Emotionen, einschließlich Angst und Stress; sie sind jedoch dankbar für konstruktives Feedback, das ihnen über private Kanäle mitgeteilt wird.
  • Die Wahrnehmung des Meldungsprozesses durch die Betreuer: Um den Schweregrad der bei ihnen eingehenden Meldungen zu bestimmen, gaben die Betreuer an, zunächst die Auswirkungen zu bewerten. Sie erwarteten nicht, dass Sicherheitsforscher Ratschläge zur Behebung von Schwachstellen geben, waren aber dankbar, wenn diese angeboten wurden. Die Teilnehmer fühlten sich in der Regel in der Lage, potenzielle Schwachstellen innerhalb der üblichen 90-Tage-Frist für die koordinierte Offenlegung zu beheben.

Den gesamten Report finden Sie hier.

*Bernhard Lauer ist unter anderem freier Redakteur der dotnetpro und betreut hier beispielsweise die Rubrik Basic Instinct. Mit Visual Basic programmiert er privat seit der Version 1.0.


Mehr Artikel

News

Public Key Infrastructure: Best Practices für einen erfolgreichen Zertifikats-Widerruf

Um die Sicherheit ihrer Public Key Infrastructure (PKI) aufrecht zu erhalten, müssen PKI-Teams, sobald bei einer Zertifizierungsstelle eine Sicherheitslücke entdeckt worden ist, sämtliche betroffenen Zertifikate widerrufen. Ein wichtiger Vorgang, der zwar nicht regelmäßig, aber doch so häufig auftritt, dass es sich lohnt, PKI-Teams einige Best Practices für einen effektiven und effizienten Zertifikatswiderruf an die Hand zu geben. […]

News

UBIT Security-Talk: Cyberkriminalität wächst unaufhaltsam

Jedes Unternehmen, das IT-Systeme nutzt, ist potenziell gefährdet Opfer von Cyberkriminalität zu werden, denn die Bedrohung und die Anzahl der Hackerangriffe in Österreich nimmt stetig zu. Die Experts Group IT-Security der Wirtschaftskammer Salzburg lädt am 11. November 2024 zum „UBIT Security-Talk Cyber Defense“ ein, um Unternehmen in Salzburg zu unterstützen, sich besser gegen diese Bedrohungen zu wappnen. […]

Be the first to comment

Leave a Reply

Your email address will not be published.


*