GitHub: Studie zu Entwicklern und Sicherheitsforschern

Eine neue Studie des GitHub Security Lab liefert Einblicke in die Beziehung zwischen Entwicklern und Sicherheitsforschern während des Prozesses der Offenlegung von Sicherheitslücken. [...]

(c) github.blog

Im Dezember 2020 hat GitLab angekündigt, dass es seine Forschung ausweiten will, um mehr über die Beziehung zwischen der Entwickler- und der Sicherheitsforschungsgemeinschaft zu erfahren. Die Beziehung zwischen Entwicklern und Sicherheitsforschern war in der Vergangenheit manchmal angespannt. Um diese Dynamik besser zu verstehen, hat GitLab seine Forschung auf den Prozess der Offenlegung von Schwachstellen konzentriert, bei dem beide Gemeinschaften zusammenarbeiten müssen, um potenzielle Bedrohungen zu beseitigen.

Derzeit gibt es keinen Standardprozess zur Offenlegung von Schwachstellen für die breitere Sicherheitsforschungsgemeinschaft. Stattdessen haben Einrichtungen wie Googles Project Zero, das GitHub Security Lab, Snyk, HackerOne und VuSec ihre eigenen Verfahren zur Offenlegung von Schwachstellen. In einem System, dem es an Einheitlichkeit mangelt, kann das Verständnis der Beziehungen zwischen den Beteiligten zu effektiveren Maßnahmen zur Behebung von Schwachstellen führen, was letztlich zu einem sichereren und kooperativeren Ökosystem führt.

Das GitHub Security Lab hat zwischen November 2020 und März 2021 qualitative Umfragen unter Open-Source-Maintainern per Ferninterview durchgeführt Die berichteten Ergebnisse sind in drei Kategorien unterteilt:

  • Dynamiken zwischen Maintainern und Sicherheitsforschern: Die Maintainer, die an der Studie teilgenommen haben, hatten über den Prozess der Offenlegung von Sicherheitslücken hinaus wenig bis gar keinen Kontakt zur Sicherheitsforschungsgemeinschaft. Während die Interaktionen, die stattfanden, positiv sein konnten, empfanden viele Maintainer die Sicherheitsforschungsgemeinschaft nicht als besonders einladend. Trotzdem sind die Maintainer offen dafür, grundlegende Informationen über die Sicherheitsforschung zu erfahren.
  • Kommunikationspräferenzen der Maintainer: Wenn sie Meldungen über Sicherheitslücken erhalten, erleben die Maintainer typischerweise eine Reihe von Emotionen, einschließlich Angst und Stress; sie sind jedoch dankbar für konstruktives Feedback, das ihnen über private Kanäle mitgeteilt wird.
  • Die Wahrnehmung des Meldungsprozesses durch die Betreuer: Um den Schweregrad der bei ihnen eingehenden Meldungen zu bestimmen, gaben die Betreuer an, zunächst die Auswirkungen zu bewerten. Sie erwarteten nicht, dass Sicherheitsforscher Ratschläge zur Behebung von Schwachstellen geben, waren aber dankbar, wenn diese angeboten wurden. Die Teilnehmer fühlten sich in der Regel in der Lage, potenzielle Schwachstellen innerhalb der üblichen 90-Tage-Frist für die koordinierte Offenlegung zu beheben.

Den gesamten Report finden Sie hier.

*Bernhard Lauer ist unter anderem freier Redakteur der dotnetpro und betreut hier beispielsweise die Rubrik Basic Instinct. Mit Visual Basic programmiert er privat seit der Version 1.0.


Mehr Artikel

Frauen berichten vielfach, dass ihre Schmerzen manchmal jahrelang nicht ernst genommen oder belächelt wurden. Künftig sollen Schmerzen gendersensibel in 3D visualisiert werden (c) mit KI generiert/DALL-E
News

Schmerzforschung und Gendermedizin

Im Projekt „Embodied Perceptions“ unter Leitung des AIT Center for Technology Experience wird das Thema Schmerzen ganzheitlich und gendersensibel betrachtet: Das Projektteam forscht zu Möglichkeiten, subjektives Schmerzempfinden über 3D-Avatare zu visualisieren. […]

News

KI ist das neue Lernfach für uns alle

Die Mystifizierung künstlicher Intelligenz treibt mitunter seltsame Blüten. Dabei ist sie weder der Motor einer schönen neuen Welt, noch eine apokalyptische Gefahr. Sie ist schlicht und einfach eine neue, wenn auch höchst anspruchsvolle Technologie, mit der wir alle lernen müssen, sinnvoll umzugehen. Und dafür sind wir selbst verantwortlich. […]

Case-Study

Erfolgreiche Migration auf SAP S/4HANA

Energieschub für die IT-Infrastruktur von Burgenland Energie: Der Energieversorger hat zusammen mit Tietoevry Austria die erste Phase des Umstieges auf SAP S/4HANA abgeschlossen. Das burgenländische Green-Tech-Unternehmen profitiert nun von optimierten Finanz-, Logistik- und HR-Prozessen und schafft damit die Basis für die zukünftige Entflechtung von Energiebereitstellung und Netzbetrieb. […]

FH-Hon.Prof. Ing. Dipl.-Ing. (FH) Dipl.-Ing. Dr. techn. Michael Georg Grasser, MBA MPA CMC, Leiter FA IT-Infrastruktur der Steiermärkischen Krankenanstaltengesellschaft m.b.H. (KAGes). (c) © FH CAMPUS 02
Interview

Krankenanstalten im Jahr 2030

Um sich schon heute auf die Herausforderungen in fünf Jahren vorbereiten zu können, hat die Steiermärkische Krankenanstaltengesellschaft (KAGes) die Strategie 2030 formuliert. transform! sprach mit Michael Georg Grasser, Leiter der Fachabteilung IT-Infrastruktur. […]

Be the first to comment

Leave a Reply

Your email address will not be published.


*