Im Rahmen einer Podiumsdiskussion auf der Linuxconf.au vertrat Linus Torvald die Ansicht, man dürfe es den Herstellern nicht überlassen, Sicherheitsprobleme unter den Teppich zu kehren, sondern müsse sie öffentlich machen.
An der Podiumsdiskussion nahmen neben Torvalds noch Bdale Garbee, Chairman des Debian Technical Committee, Samba-Autor Andrew “Tridge” Tridgell und Kernel-Entwickler Rusty Russell teil. Torvalds meinte: Sicherheitsprobleme müssen öffentlich werden. Zwar gäbe es Leute, die seit Jahrzehnten argumentierten, man solle nie über Sicherheitsprobleme sprechen, weil das nur den Black Hats helfe, aber Fakt sei, dass Sicherheitslücken binnen einer vernüftigen Frist gemeldet werden müssten. Der Zeitrahmen der Kernelentwickler betrage dafür fünf Werktage. Das hielten einige Leute für ein wenig extrem, reagierten doch andere Projekte erst binnen eines Monats oder gar binnen Monaten. Aber selbst das sei immer noch besser als die Jahre des Schweigens, an die üblich seien.
Torvalds Kommentar trifft mit einem Disput zwischen Google und Microsoft zusammen, der zum Anlass hatte, dass Google eine Reihe von Sicherheitsproblemen in Windows automatisch veröffentlicht hatte, nachdem eine 90-Tage-Frist verstrichen war.
Ich bevorzuge die sofortige Offenlegung von Sicherheitslücken – auch wenn noch kein Patch vom Entwickler vorgelegt wurde, da eh davon auszugehen ist, das diese bereits als “zero day” Lücken von einschlägigen Kreisen genutzt werden können. Dies möglichst früphzeitiug zu wissen halte ich in derlei Situationen für wichtiger, als auch den den letzten Scriptkiddies Zugang zu derlei Lücken zu verwehren. Wer wann und wie schnell meint handeln zu müssen, können oder dürfen, ist so differenziert wie die Anwendungszenarien von Open Source – und weil es nicht zuletzt schon deshalb keine “für alle passende, angemessene” einheitliche Frist geben kann, macht es keinen… Mehr »