Full Disclosure

Gordon "Fyodor" Lyon hat die überraschend geschlossene Full-Disclosure-Mailingliste wiederbelebt. Er habe viel Erfahrung mit dem Administrieren von Mailinglisten und keine Angst vor rechtlichen Drohungen, sagt der Sicherheitsexperte.

Die Mailingliste Full Disclosure hat Sicherheitsforschern, die von ihnen entdeckte Schwachstellen veröffentlichen und diskutieren wollten, erstmals eine Anlaufstelle geboten. Damit hat die Liste einen wichtigen Beitrag zur Entwicklung der Security-Szene beigetragen.

Die bekannte Sicherheits-Mailingliste wurde von ihrem Betreiber bis auf weiteres geschlossen. Full Disclosure war in der Vergangenheit immer wieder Schauplatz der Enthüllung wichtiger Sicherheitslücken.

Der Entwickler des Hacker-Tools "L0phtCrack" wechselt vom US-Verteidigungsministerium zu Google. Damit folgt er seiner Chefin Regina Dugan zum Suchmaschinenriesen.

Statt der 13 bekannten Lücken hat Adobe nach Angaben von Tavis Ormandy mehrere hundert Lücken geschlossen. Darum ist nun ein Streit entbrannt.

Nach Ablauf der 180 Tage Schonfrist hat die Zero Day Inititative wie angekündigt einen Schwung von Informationen über 22 Sicherheitslücken veröffentlicht, für die die Hersteller keinen Patch bereit gestellt haben.

Nachdem Google Herstellern zum Patchen von Sicherheitslücken nur noch 60 Tage Zeit geben will, limitiert nun der Schwachstellen-Broker Zero Day Initiative den Zeitraum für das Entwickeln von Sicherheits-Updates.

Ein Wechsel zu "Coordinated Vulnerability Disclosure" bringt Bewegung in die aufgeladene und scheinbar festgefahrene Diskussion um den richtigen Umgang mit neuen Sicherheitslücken.

Künftig sollen Sicherheitsexperten im Rahmen einer "verantwortungsvollen Veröffentlichung" von Sicherheitslücken dem Hersteller eine Frist setzen dürfen. 60 Tage sollten in der Regel genug sein, einen Patch für eine kritische Sicherheitslücke zu liefern.

Nur 33 Tage nach dem Bekanntwerden einer kritischen Windows-XP-Lücke liefern die Redmonder einen Patch. Darüber hinaus gibt es Updates gegen Sicherheitslücken in Windows 7, Access und Outlook.

Ein Sicherheitsdienstleister hat Lücken in Office 2010 entdeckt, gibt die Informationen aber nur an die eigenen Kunden weiter. Microsoft bleibt zunächst außen vor - und die Lücken offen.

Das Sicherheitsteam des Netzriesen Verizon schlägt eine Neudefinition des Begriff "Security Researcher" vor. Anhänger von Full Disclosure sind demnach "Narcissistic Vulnerability Pimps".

"Full Disclosure" arbeite nur der Industrie in die Arme, klagt die Gruppe Anti-Sec im Rahmen ihres Hacks von Imageshack an. Die Gruppe steht in Zusammenhang mit Einbrüchen in Sicherheitsseiten und einem angeblichen Zero-Day-Exploit für OpenSSH.