Google berichtet über Sicherheitslücke in Microsoft Windows nach einer Vorlaufzeit von 90 Tagen!

Am 29. Dezember berichtete Google über eine Sicherheitslücke in Microsoft Windows 8.1, nachdem man dem Unternehmen 90 Tage zu deren Behebung eingeräumt hatte. Durch diese Sicherheitslücke erhält ein normaler Nutzer unter Windows 8.1 Administratorenrechte. Pikant ist, dass Microsoft diese Tatsache seit ihrer Entdeckung am 30. September keinerlei Beachtung geschenkt hat.

Aus Sicherheitsgründen sollte man die meisten Arbeiten am PC mit möglichst geringen Rechten ausführen, um Malware davon abzuhalten, Schaden anzurichten. Außerdem werden so bösartige Aktionen auf Ihrem PC unterbunden. Falls Sie tägliche Arbeiten mit Administratorenrechten ausführen, besteht ein großes Risiko, dass Malware auf Ihrem Rechner installiert werden, ohne dass Sie sich dessen bewusst sind.

Warum hat Microsoft dies nicht behoben?

Es ist kaum zu glauben, dass Microsoft niemals diese Sicherheitslücke angegangen ist oder gar versucht hat, diese zu beseitigen. Microsoft gab jedoch Endgadget gegenüber eine Erklärung ab:

„Wir arbeiten an der Bereitstellung eines Sicherheitsupdates, mit dem ein Problem mit Administratorenzugriff angegangen werden soll. Es gilt zu beachten, dass ein möglicher Angreifer ein System erst untergraben könnte, wenn er über gültige Zugangsdaten verfügt und sich lokal an diesem System anmelden kann. Wir halten unsere Nutzer dazu an, ihre Antiviren-Software auf dem neuesten Stand zu halten, alle verfügbaren Sicherheitsupdates zu installieren und die Firewall ihres Computers zu aktivieren.“

Der proaktive Ansatz von Google im Kampf gegen Zero-Day-Sicherheitslücken

Obgleich Microsoft wohl wenig erbaut war über den Bericht des Project Zero von Google, erwiderten Google und sein neu gebildetes Team, dass es Verpflichtungen gebe, die Unternehmen einzuhalten hätten, um dem Vertrauen von Personen keinen Abbruch zu tun, das diese in Technologie der Unternehmen setzten. Project Zero bot einen Einblick in die Richtlinien zur Offenlegung von Sicherheitslücken und den Verpflichtungen von Softwareanbietern, indem man Microsoft folgendes antwortete:

„Alles in allem sind wir bei Project Zero der Auffassung, dass Offenlegungsfristen den besten Ansatz in der Nutzersicherheit darstellen; so erhalten Softwareanbieter genug Zeit zur Sicherheitslückenmanagement, und dennoch bleiben die Rechte der Nutzer gewahrt, von den Risiken zu erfahren und diese zu begreifen, denen sie sich aussetzen. Dadurch, dass ein Anbieter nicht mehr die Details zu Sicherheitsproblemen endlos zurückhalten kann, geben wir Nutzern die Möglichkeit, zeitnah auf Sicherheitslücken zu reagieren, ihre Macht als Kunde auszuspielen und zeitig eine Antwort von diesem Anbieter zu erhalten.“