Open-Source-Projekte sehen sich zunehmend mit Sicherheitswarnungen konfrontiert, deren mediale Inszenierung in keinem Verh\u00e4ltnis zur tats\u00e4chlichen Bedrohung steht. Die Entdecker statten die L\u00fccken mit CVE-Nummern, eing\u00e4ngigen Namen und eigenen Websites aus, um maximale Aufmerksamkeit zu erzeugen, obwohl die Schwachstellen oft nur theoretischer Natur sind.<\/p>\n
Die Maintainer der betroffenen Projekte k\u00f6nnen die Alarmmeldungen aufgrund der k\u00fcnstlich erzeugten Publicity nicht ignorieren. Sie m\u00fcssen jede Meldung aufwendig pr\u00fcfen, was immense Kosten verursacht. Neue Evaluierungen werden f\u00e4llig, und Unternehmen, die die betroffene Bibliothek einsetzen, m\u00fcssen reagieren. Der finanzielle Schaden kann schnell in die Zehntausende Dollar gehen.<\/p>\n
Der australische Sicherheits- und Kryptografieexperte Peter Gutmann, bekannt durch seine Arbeit an PGP und dem Open-Source-Toolkit cryptlib, warnt eindringlich vor den negativen Folgen dieser Entwicklung. Auf der OpenSSL-Konferenz in Prag h\u00e4lt er im Oktober einen Vortrag zu diesem Thema. Gegen\u00fcber heise developer erkl\u00e4rte er die Mechanismen hinter diesem Ph\u00e4nomen, das er als \u201eStunt Cryptography\u201c bezeichnet.<\/p>\n
Laut Gutmann ist dies keine organisierte b\u00f6swillige Kampagne, sondern ein nat\u00fcrlicher Nebeneffekt des Publikationssystems in der Sicherheitsforschung. Ein normaler Buffer Overflow in Apache erh\u00e4lt eine CVE-Nummer, wird gepatcht, und niemand nimmt gro\u00df Notiz. Wer jedoch als Forscher oder Akademiker wahrgenommen werden will, braucht etwas Ausgefallenes. Der Unterschied sei wie zwischen einem Zauberer, der ein ganzes Geb\u00e4ude verschwinden l\u00e4sst, und jemandem, der ein St\u00fcck Kuchen verschwinden l\u00e4sst \u2013 \u00fcber Ersteres redet jeder. Um ein Konferenzpaper unterzubringen, sind au\u00dfergew\u00f6hnliche, kreative Angriffe n\u00f6tig, deren Nutzen als tats\u00e4chlicher Angriff sich jedoch umgekehrt proportional zu ihrer Cleverness verh\u00e4lt. Echte Angreifer suchen nicht nach einer Methode, die drei Tage Vorbereitung und drei Tage Laufzeit ben\u00f6tigt, um zehn Bit Daten zu stehlen; sie wollen einen simplen Buffer Overflow, der zu Remote Code Execution f\u00fchrt.<\/p>\n
Hier liege auch der entscheidende Unterschied zu echten Bedrohungen wie Heartbleed oder Stuxnet. Diese waren reale, ausnutzbare Probleme, die von Angreifern tats\u00e4chlich verwendet wurden. Bei \u201eStunt Cryptography\u201c ist das Gegenteil der Fall: Der Angriff ist wissenschaftlich clever, doch ein realer Angreifer, der ihn nutzt, ist nicht bekannt.<\/p>\n
Gutmann nennt konkrete Beispiele f\u00fcr diese Art von Kampagnen. SWEET32 etwa setzt voraus, dass das Opfer den Code des Angreifers im eigenen Browser ausf\u00fchrt und dabei 785 Gigabyte an Web-Traffic verschl\u00fcsselt \u2013 nur um am Ende ein einziges HTTP-Cookie zu erbeuten. Der Angriff besitzt ein eigenes Logo und eine eigene Website, ist aber v\u00f6llig unpraktikabel. EFAIL erm\u00f6glichte die Rekonstruktion verschl\u00fcsselter E-Mails, allerdings nur unter exakt passenden Bedingungen. Auch hier: griffiger Name, Logo, Website \u2013 das volle Programm. Ein weiteres Beispiel ist CVE-2023-51767, ein akademisches Paper, das als Schritt eins vorsieht, als Root ein SIGSTOP an sshd zu senden. Darauf folgen mehrere Seiten komplexer Kryptografie. Das Problem: Wer bereits Root-Zugriff<\/a> hat, ben\u00f6tigt den zweiten Schritt nicht.<\/p>\n Die Motivation hinter diesen Kampagnen ist nicht finanziell. Es geht um Reputation, um \u201eCV-Enhancements\u201c. Das Publikationssystem belohnt das Ungew\u00f6hnliche und Kreative, nicht das Praktikable.<\/p>\n Die finanziellen Auswirkungen sind gravierend. In einem konkreten Fall musste ein Open-Source-Projekt zwischen 30.000 und 50.000 US-Dollar<\/a> sowie drei bis sechs Monate Entwicklerzeit aufwenden, um auf eine unbegr\u00fcndete CVE-Meldung zu reagieren. Es handelte sich um FIPS-140-validierten Code. Eine erneute FIPS-Validierung wegen einer CVE kostet typischerweise diesen Betrag und dauert so lange. Das Problem pflanzt sich fort: Eine CVE-Nummer ist plattformunabh\u00e4ngig und entzieht die Zertifizierung allen Projekten gleichzeitig, die auf dem validierten Code aufbauen. Viele FIPS-Evaluierungen sind lediglich ein Rebranding fremder Evaluierungen.<\/p>\n Warum kann man eine solche L\u00fccke nicht einfach ignorieren? Sobald eine CVE existiert, taucht sie in jedem Schwachstellen-Scanner und auf jeder Compliance-Checkliste auf. Die Projekte befinden sich in einer kafkaesken Situation: Es gibt eine CVE, also muss sie behoben werden \u2013 aber es gibt keine tats\u00e4chliche Schwachstelle. Die Behebung muss jedem Anwender einzeln erkl\u00e4rt werden. Allein GnuPG ben\u00f6tigte rund drei Personenwochen, um die GPGFail-Behauptungen zu widerlegen, von denen sich keine als ausnutzbare Schwachstelle erwies. Die einfache Abk\u00fcrzung, die Sache als behoben zu deklarieren, w\u00e4lzt die Kosten auf alle nachgelagerten Nutzer ab.<\/p>\n Die Gesamtkosten k\u00f6nnen noch drastischer ausfallen. Bei einer weitverbreiteten Bibliothek wie libcurl, die in rund 30 Milliarden Instanzen installiert ist, kann eine einzige unbegr\u00fcndete CVE zu Kosten von Hunderttausenden US-Dollar und Jahren an kumulierter Arbeitszeit f\u00fchren. Gro\u00dfe Organisationen brauchen f\u00fcr das Ausrollen eines regul\u00e4ren Fixes f\u00fcnf bis sechs Monate, f\u00fcr einen hoch eingestuften Sicherheitsfehler drei Monate. Compliance-Vorgaben wie PCI DSS setzen feste Fristen von 30 Tagen f\u00fcr kritische Funde, unabh\u00e4ngig davon, ob das Problem real ist. Die Folgesch\u00e4den k\u00f6nnen die vermeintliche Schwachstelle sogar \u00fcbertreffen: Als Scanner eine niedrig eingestufte CVE in der mit Windows<\/a> ausgelieferten curl.exe meldeten, l\u00f6schten Anwender die Datei aus System32, woraufhin Windows Update<\/a> eine Manipulation erkannte und den Dienst verweigerte.<\/p>\n Gutmann pl\u00e4diert f\u00fcr eine grundlegende \u00c4nderung des Systems. Sein Vorschlag, den er in Prag vorstellen wird: Den Schweregrad einer CVE-Meldung sollte das betroffene Projekt festlegen, nicht der Einreicher. Dies m\u00fcsste Optionen wie \u201enicht zutreffend\u201c oder \u201evanity\u201c (Eitelkeit) umfassen. Gr\u00f6\u00dfere Projekte k\u00f6nnen selbst zur CVE Numbering Authority werden und so unbegr\u00fcndete Einreichungen abfangen, bevor sie ver\u00f6ffentlicht werden. F\u00fcr kleinere Projekte, die von einer einzelnen Person betrieben werden, ist dies nicht machbar.<\/p>\n Eine Anfechtung einer unbegr\u00fcndeten CVE ist langsam und undankbar. OpenSSH hat dies bei CVE-2023-51767 versucht. Selbst eine eindeutig falsche CVE wie 2016-2427 steht seit Jahren im Status \u201edisputed\u201c, da es f\u00fcr Einspr\u00fcche keinen Zeitrahmen gibt. Eine branchenweite Initiative gegen diese Entwicklung existiert nicht. Die eigentliche L\u00f6sung, so Gutmann, w\u00e4re ein Wandel in der akademischen Welt, die auch unpraktikable, aber clevere Angriffe als solche anerkennen w\u00fcrde \u2013 eine Perspektive, die er jedoch f\u00fcr unwahrscheinlich h\u00e4lt. Die verstreuten Reaktionen auf Projektebene, wie curl mit der Einstufung \u201elower-than-LOW severity\u201c, sind daher nur ein erster, wenn auch wichtiger Schritt.<\/p>\n","protected":false},"excerpt":{"rendered":" Open-Source-Projekte sehen sich zunehmend mit Sicherheitswarnungen konfrontiert, deren mediale Inszenierung in keinem Verh\u00e4ltnis zur tats\u00e4chlichen Bedrohung steht. Die Entdecker statten die L\u00fccken mit CVE-Nummern, eing\u00e4ngigen Namen und eigenen Websites aus, um maximale Aufmerksamkeit zu erzeugen, obwohl die Schwachstellen oft nur theoretischer Natur sind. Die Maintainer der betroffenen Projekte k\u00f6nnen die Alarmmeldungen aufgrund der k\u00fcnstlich erzeugten […]<\/p>\n","protected":false},"author":5,"featured_media":54801,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/53144.png","fifu_image_alt":"Aufgebl\u00e4hte Sicherheitswarnungen kosten Open-Source-Projekte zehntausende Dollar","footnotes":""},"categories":[6671],"tags":[],"class_list":["post-53144","post","type-post","status-publish","format-standard","has-post-thumbnail","category-scherheit"],"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/53144.png","fifu_image_alt":"Aufgebl\u00e4hte Sicherheitswarnungen kosten Open-Source-Projekte zehntausende Dollar","_links":{"self":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/53144","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/comments?post=53144"}],"version-history":[{"count":2,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/53144\/revisions"}],"predecessor-version":[{"id":53150,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/53144\/revisions\/53150"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media\/54801"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media?parent=53144"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/categories?post=53144"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/tags?post=53144"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}Die Rechnung: Zehntausende Dollar pro unbegr\u00fcndeter Meldung<\/h2>\n
Wie Projekte sich wehren k\u00f6nnen \u2013 und warum es schwierig ist<\/h2>\n