Startseite > Security > Microsoft will Drittanbieter bei der Behebung von Sicherheitslücken unterstützen

Programm zur Entdeckung von Sicherheitsschwachstellen in Fremdsoftware

Microsoft will Drittanbieter bei der Behebung von Sicherheitslücken unterstützen

25. August 2008, 22:56 Uhr |

Microsoft verstärkt nach eigenen Angaben sein Engagement für die Sicherheit der Windows-Anwendungen von Drittanbietern. Mit dem Microsoft Vulnerability Research (MSVR) Programm sucht das Unternehmen aktiv nach Schwachstellen in Fremdanwendungen und bietet Unterstützung bei der Behebung der Sicherheitslücken an. Der Softwareriese unterrichtet laut Plan die Hersteller umgehend und vertraulich über eine entdeckte Schwachstelle und stellt alle Informationen zur Verfügung, die bei der Problemlösung hilfreich sein könnten.

Führende Sicherheitsexperten seien sich seit langem darüber einig, dass bei den Einfallstoren
für Angreifer die Betriebssysteme von den Anwendungen abgelöst werden. Es finden also zunehmend
Angriffe auf Anwendungsprogramme statt. Wenn jedoch Anwendungsprogramme Sicherheitslücken
aufweisen, kann dadurch das ganze System gefährdet werden.

Neben internen Recherchen im Rahmen des Microsoft-Security-Development-Lifecycle-Prozesses (SDL)
wird dabei auch auf Meldungen von außen zurückgegriffen. Dies sei zum Beispiel zuletzt geschehen,
als ein externer Hinweis auf eine Schwachstelle im Zusammenspiel von Apple Safari und Windows
einging. In solchen Fällen koordiniere Microsoft mit dem betroffenen Unternehmen das Vorgehen und
biete Unterstützung bei der Lösung des Problems an.

Entdeckt Microsoft selbst eine Schwachstelle, will das Unternehmen umgehend vertraulich Kontakt
zum betroffenen Hersteller aufnehmen. Um eine schnelle Verfügbarkeit qualitativ hochwertiger
Updates zur Behebung der Sicherheitslücke zu gewährleisten, wollen die Redmonder dem
Softwarehersteller durch Bereitstellung von Informationen und Unterstützung in der Entwicklung des
Updates zur Seite stehen.

Während des kompletten Prozesses verpflichtet sich Microsoft zu absoluter Vertraulichkeit. Die
Details der Schwachstelle werden von Microsoft deshalb erst nach Verfügbarkeit des Updates
veröffentlicht. Diese Kommunikationspolitik soll die Gefahr minimieren, dass die Schwachstellen zum
Schaden der Kunden von Dritten ausgenutzt werden.

"Es ist lobenswert, dass Microsoft vermehrt auf eine offene Kommunikationspolitik in Bezug auf
Informationssicherheit setzt", kommentiert Rainer Fahs, NATO-Sicherheitsexperte und
Vorstandsvorsitzender der European Expert Group for IT-Security, EICAR. "Insbesondere die enge
Zusammenarbeit mit den Herstellern, deren Applikationen auf Windows-Umgebung laufen, ist
fortschrittlich und begrüßenswert. Microsoft hat definitiv dazugelernt und sucht nun offensichtlich
eine engere Zusammenarbeit mit anderen Herstellern, um gemeinsam gegen Bedrohungen von außen zu
bestehen."

LANline/jos