2020 wollen Googles Security-Bug-Forscher von Project Zero die Disclusore-Richtlinien ändern. Das soll betroffenen Unternehmen das Patchen erleichtern.

Project Zero schreibt sich auf die Fahnen, Zero-Day-Sicherheitslücken früher zu finden als potenziell böswillige Angreifer und sie den betroffenen Firmen zu melden. Zugleich will das Projekt das Bewusstsein für die Sicherheit bei Firmen und im Ökosystem stärken. Die wird häufig noch als Stiefkind betrachtet: IT-Security zu betreiben und Sicherheitslücken zu beheben, kostet Geld. Oberflächlich betrachtet bringt es aber kein Geld, daher verteilen Manager das Budget lieber auf andere Posten.

Diese Sicht zu ändern, gehört zu den Dingen, die Project Zero antreibt. In einem Blogpost weisen die Macher dann auch auf die bisherigen Erfolge hin: So reparieren inzwischen 97,7 Prozent der Hersteller die von Project Zero gemeldeten Lücken innerhalb der 90 Tage. Diese Frist setzt das Projekt, bevor es Details zu den Lücken veröffentlicht. Sind die Patches früher online, veröffentlicht Project auch seine Erkenntnisse früher.

Hier gibt es zum Beispiel eine Änderung: Veröffentlichte Googles Projekt die Daten bislang nach 90 Tagen oder nach dem Schließen der Bugs, gilt nun generell eine Frist von 90 Tagen. Nur wenn das betroffene Unternehmen oder Projekt es explizit fordert, verkürzt Google diese Frist. Der Grund dafür steckt wohl in den ebenfalls geänderten Policy Goals: Hier kommen die Punkte “Sorgfältige Patch-Entwicklung” und “Verbesserte Patch-Übernahme” ins Spiel.

Zu schnell, zu unauffällig

Tatsächlich patchen die Unternehmen dank Googles Druck nun schneller, oft aber auch schlampig. Veröffentlicht Google dann Details zur Lücke, fallen den Unternehmen die schnell gestrickten Patches dennoch auf die Füße und funktionieren die Angriffe mit leichten Abänderungen weiterhin. Hier will Project Zero mit der neuen Policy offenbar etwas Druck rausnehmen. Zugleich reiche es eben oft nicht, einen Bug zu fixen. Die Nutzer der Software müssen von dem Patch erfahren und ihn einspielen, was häufig einige Tests im Vorfeld nach sich zieht. Auch dafür bleibe dank der 90-Tage-Standardfrist nun mehr Zeit.

Project Zero knüpft allerdings etwas widersprüchliche Erwartungen an die Änderung: Einerseits hofft es, dass die Anbieter ihre Lücken schneller stopfen, um mehr Zeit für das Verbreiten der Patches zu haben. Andererseits hofft es darauf, dass die Anwender sorgfältigere Patches schreiben, was aber in der Regel länger dauern dürfte. Weil auch Project Zero nicht genau weiß, wie das Rennen am Ende ausgeht, will es die neuen Richtlinien zunächst für 12 Monate testen und dann erneut in Klausur gehen.