Zwischen Microsoftdem Titanen von Redmond, und einem unter dem Pseudonym „Nightmare Eclipse“ agierenden Sicherheitsforscher, bricht der Dialog ab. Die Affäre brach aus, als der Forscher die Details und Ausnutzungscodes mehrerer kritischer Schwachstellen namens BlueHammer, RedSun und YellowKey veröffentlichte, die so sensible Dienste wie das in Windows integrierte Antivirenprogramm und das Verschlüsselungstool BitLocker betrafen. Der Grund für diese radikale Geste? Der Forscher behauptet, von Microsoft verachtet und blockiert worden zu sein, nachdem er versucht hatte, mit ihnen in Kontakt zu treten. Das ging sogar so weit, dass sein Konto auf dem Meldeportal des Unternehmens gelöscht wurde. Eine Situation, die ihn seiner Meinung nach dazu bewogen hätte, diese brisanten Informationen öffentlich zu machen.

Warum nimmt diese Angelegenheit eine so aggressive Wendung?

Die Reaktion von Microsoft ließ nicht lange auf sich warten und war äußerst heftig. In einem Blogbeitrag wirft das Unternehmen Nightmare Eclipse unverantwortliche Offenlegung vormit der Begründung, dass die Veröffentlichung nicht behobener Fehler gefährdet direkt Millionen von Benutzern, indem es Hacker bewaffnet. Das schwere Geschütz zeigte das Unternehmen mit der Erwähnung seiner „Digital Crimes Unit“, einer auf die Bekämpfung von Cyberkriminalität spezialisierten Einheiteine kaum verhüllte Drohung mit strafrechtlicher Verfolgung. Für viele Beobachter ist dies eine rote Linie, die überschritten wird.

Diese Haltung wird als Einschüchterungsversuch empfundenist Teil einer hitzigen Debatte, die die Community seit Jahren bewegt. Das Konzept der verantwortungsvollen Offenlegungdas von Verlagen befürwortet wird, geht von einer Zusammenarbeit aus, bei der der Forscher den Verkäufer privat informiert und auf die Veröffentlichung eines Fixes wartet. Viele Experten, darunter auch Veteranen wie Katie Moussouris, Pionierin von „Bug-Bounty“-Programmen bei Microsoft selbst, sind jedoch der Meinung, dass dieser Begriff veraltet und unangemessen ist. Es kann als Vorwand dienen, Warnungen zu ignorieren oder Druck auf Forscher ausüben.

Was sind die konkreten Konsequenzen für unsere aller Sicherheit?

Das größte Risiko, das von einem ganzen Teil der Gesellschaft hervorgehoben wird, ist der sogenannte „chilling effect“, eine abschreckende Wirkung.. Mit dieser Drohung gegen einen Forscher sendet Microsoft ein Signal katastrophal: Die Meldung einer Schwachstelle könnte Sie teuer zu stehen kommen. Die direkte Konsequenz? Weniger Forscher werden es wagen, sich dem Technologieriesen und den Software-Schwachstellen zu stellen Kritiker könnten im Schatten bleiben und viel diskreteren böswilligen Gruppen ausgeliefert sein. Letztlich geht es um die Sicherheit aller Nutzer.

Die Ironie besteht darin, dass einige der von Nightmare Eclipse aufgedeckten Schwachstellen bereits aktiv ausgenutzt werden von Hackern, so Microsoft und die amerikanische Cybersicherheitsbehörde CISA. Das Zeitfenster für Unternehmen, zu reagieren, ist nun auf wenige Stunden nach einer Offenlegung verkürzt. Diese öffentliche Pattsituation erhöht nur den Druck auf die bereits überlasteten Sicherheitsteams und erschwert gleichzeitig das Patch-Management noch chaotischer.

Wie reagiert die Tech-Community auf die Position von Microsoft?

Experten und ehemalige Mitarbeiter des Unternehmens nahmen kein Blatt vor den Mund. Kevin Beaumont, selbst ein ehemaliges Mitglied des Hauses, beschrieb die Situation als „einen selbstgemachten Müllcontainerbrand“. dass Microsoft hätte sich selbst angezündet. Er weist darauf hin, dass das Unternehmen in der Vergangenheit Hacker angeheuert habe, die auf ähnliche Weise vorgegangen seien, was die derzeitige Drohung mit der Kriminalisierung völlig heuchlerisch erscheinen lasse. Die Glaubwürdigkeit des Unternehmens ist ernsthaft beschädigt.

Diese Affäre verdeutlicht die wachsende Frustration unter Forschern angesichts der Arroganz bestimmter Giganten, wie sie es nennen. Der allgemeine Eindruck ist, dass die Behebung von Schwachstellen, die als niedrig eingestuft werden, ohne den Druck der öffentlichen Offenlegung Monate oder sogar Jahre dauern kann. Die Sache wird noch komplizierter mit einer letzten Drohung von Nightmare Eclipse, der den 14. Juli als Ultimatum für eine neue „erschütternde“ Veröffentlichung gesetzt hat. Die Serie ist noch lange nicht zu Ende.

Hacker

Häufig gestellte Fragen (FAQ)

Wer ist Nightmare Eclipse?

Nightmare Eclipse, auch bekannt als Chaotic Eclipse, ist das Pseudonym eines unabhängigen Computersicherheitsforschers. Er war für die öffentliche Offenlegung mehrerer Zero-Day-Sicherheitslücken verantwortlich, die Microsoft-Produkte betrafen, was zu einem offenen Konflikt mit dem Unternehmen führte.

Was ist eine Zero-Day-Schwachstelle?

Ein Zero-Day-Fehler ist eine Schwachstelle in einer Software, die von Angreifern entdeckt und potenziell ausgenutzt wird, bevor der Softwareentwickler Zeit hat, einen Patch zu erstellen und zu veröffentlichen. Dies ist die kritischste Art von Sicherheitsverletzung, da es keinen unmittelbaren Schutz gibt.

Was wird voraussichtlich am 14. Juli passieren?

Der Forscher Nightmare Eclipse hat eine Drohbotschaft veröffentlicht, in der er eine „knochenbrechende“ Enthüllung für den 14. Juli verspricht. Obwohl die genaue Natur dieser Veröffentlichung unbekannt bleibt, erwartet die Cybersicherheitsgemeinschaft die Enthüllung neuer großer Sicherheitslücken oder kompromittierender Dokumente für Microsoft.