OldTechMan schrieb:
Von daher ist Schneiers Meinung, die im übrigen schon 11 Jahre alt ist und die "App-Ära" überhaupt nicht berücksichtigen konnte, auch nicht der heilige Gral.
Er hat sie zwischenzeitlich immer wieder bekräftigt, und ich denke sie ist heute aktueller denn je. Die Komplexität heutiger Computersysteme ist kaum noch beherrschbar was die Sicherheit angeht, und anstatt innezuhalten und auf sicheres Design mit sauber getrennten Komponenten zu setzen wird immer mehr Komplexität hinzugefügt.
Die 90-Tage-Frist bei Responsible Disclosure sind schon viel, aber in einer Reihe von Fällen haben es Firmen tatsächlich nicht innerhalb dieser Frist hinbekommen, die Lücke abzudichten. Ein Produkt welches man in 90 Tagen nicht sicher bekommt, ist meiner Ansicht nach nicht mehr beherrschbar.
OldTechMan schrieb:
Ich sehe Full Disclosure in keinster Weise als einzige Lösung an, weil sie in ihrer pauschal undifferenzierten Anwendung schlicht extremistisch ist. Denn sie beruht auf der Annahme, dass alle Softwarehersteller kein Interesse an der Sicherheit ihrer Software haben, Sicherheitslücken unterschätzen und lediglich an den Profit ihrer Software denken; und deshalb muss man alles sofort offen legen, damit alle informiert sind.
Es gibt bislang kaum wirtschaftliche Anreize, die Software sicher zu machen. Sicherheit kostet Zeit und Geld. Wer ein unsicheres Produkt schnell auf den Markt werfen kann, der hat einen Vorteil gegenüber Konkurrenten, die sich zunächst um ordentliche Sicherheit kümmern. Dafür gibt es unzählige Beispiele.
Und es gibt auch Beispiele, wo Firmen wenn ihre Existenz von der Sicherheit ihrer Produkte abhängig ist, auf ordentliches Sicherheitsdesign wert legen. Die Nintendo Switch etwa hat abgekapselte Bereiche für einzelne Dienste und Anwendungen, verzichtet auf Funktionen die in der Vergangenheit problematisch waren, usw. Dass am Ende das Ganze dann doch zusammengebrochen ist,
lag am Zulieferer NVidia.
OldTechMan schrieb:
Full Disclosure setzt auf Seiten der User eigentlich mehrheitlich IT-Experten voraus.
Das ist ein Irrtum. Full Disclosure hat auch dann wichtige positive Auswirkungen, wenn man kein IT-Experte ist. Etwa die Lenkungswirkung, auf die auch Bruce Schneier abzielt:
Es zwingt die Hersteller, proaktiv in die Sicherheit ihrer Produkte zu investieren. Also Produkte erst möglichst sicher zu machen und sie dann auf den Markt zu bringen. Und eine Infrastruktur bereitzustellen, mit der auf gemeldete Lücken schnell reagiert werden kann. Wenn ein Kunde mehrere Wochen pro Jahr ungeplante downtime hat weil mal wieder ein Zero-day-Exploit aufgetaucht ist, wird er sich schnell einen anderen Hersteller suchen, der innerhalb von 24 Stunden patchen kann. Produkte, die so komplex sind, dass sie nicht schnell abgedichtet werden können, sind dann am Markt nicht mehr überlebensfähig.
Und Maßnahmen, die Sicherheit der Produkte zu erhöhen gibt es viele. Man kann natürlich nichts gegen Programmierfehler machen, aber man kann etwa
deren Auswirkungen auf die Sicherheit klein halten. Und man kann von vorne herein dafür sorgen, dass die Komplexität überschaubar bleibt, indem man Funktionen und Dienste voneinander abkapselt, so dass ein Problem in einer Komponente nicht die Sicherheit des gesamten Systems gefährdet, und dass eine Änderung in dieser Komponente nicht unüberschaubare Auswirkungen auf alles andere hat.
OldTechMan schrieb:
Okay, ich akzeptiere deine Meinung, aber bitte akzeptiere auch meine: realitätsfremde Betrachtung und Einschätzung einer degenerierten Gesellschaft. Für meine These gibt es 10000000000 Beweise aus allen Ecken des Lebens.
Wer kann mir ein ähnliches Gegengewicht nennen, welches die menschliche Spezies der eigenen Utopie nah genug kommen lässt?
Dann nenne doch mal einen Beweis.
Weil Computer-Auto-Vergleiche so beliebt sind: Wenn bei Autos ein schwerwiegendes Problem gefunden wird, gibt es oft einen Rückruf, der den Hersteller viele Millionen oder gar Milliarden kosten kann.
Wenn in Software ein Problem auftritt, was die Geräte von Millionen von Anwendern gefährdet, dann gibt es oft nur ein Schulterzucken, und es wird mit dem Finger auf die bösen Hacker gezeigt. Hier sind die Öffentlichkeit und die Käufer das einzige Korrektiv.
