Eine neue Studie des GitHub Security Lab liefert Einblicke in die Beziehung zwischen Entwicklern und Sicherheitsforschern während des Prozesses der Offenlegung von Sicherheitslücken.
Im Dezember 2020 hat GitHub angekündigt, dass es seine Forschung ausweiten will, um mehr über die Beziehung zwischen der Entwickler- und der Sicherheitsforschungsgemeinschaft zu erfahren. Die Beziehung zwischen Entwicklern und Sicherheitsforschern war in der Vergangenheit manchmal angespannt. Um diese Dynamik besser zu verstehen, hat GitHub seine Forschung auf den Prozess der Offenlegung von Schwachstellen konzentriert, bei dem beide Gemeinschaften zusammenarbeiten müssen, um potenzielle Bedrohungen zu beseitigen.
Derzeit gibt es keinen Standardprozess zur Offenlegung von Schwachstellen für die breitere Sicherheitsforschungsgemeinschaft. Stattdessen haben Einrichtungen wie Googles Project Zero, das GitHub Security Lab, Snyk, HackerOne und VuSec ihre eigenen Verfahren zur Offenlegung von Schwachstellen. In einem System, dem es an Einheitlichkeit mangelt, kann das Verständnis der Beziehungen zwischen den Beteiligten zu effektiveren Maßnahmen zur Behebung von Schwachstellen führen, was letztlich zu einem sichereren und kooperativeren Ökosystem führt.
Das GitHub Security Lab hat zwischen November 2020 und März 2021 qualitative Umfragen unter Open-Source-Maintainern per Ferninterview durchgeführt Die berichteten Ergebnisse sind in drei Kategorien unterteilt:
Dynamiken zwischen Maintainern und Sicherheitsforschern: Die Maintainer, die an der Studie teilgenommen haben, hatten über den Prozess der Offenlegung von Sicherheitslücken hinaus wenig bis gar keinen Kontakt zur Sicherheitsforschungsgemeinschaft. Während die Interaktionen, die stattfanden, positiv sein konnten, empfanden viele Maintainer die Sicherheitsforschungsgemeinschaft nicht als besonders einladend. Trotzdem sind die Maintainer offen dafür, grundlegende Informationen über die Sicherheitsforschung zu erfahren.
Kommunikationspräferenzen der Maintainer: Wenn sie Meldungen über Sicherheitslücken erhalten, erleben die Maintainer typischerweise eine Reihe von Emotionen, einschließlich Angst und Stress; sie sind jedoch dankbar für konstruktives Feedback, das ihnen über private Kanäle mitgeteilt wird.
Die Wahrnehmung des Meldungsprozesses durch die Betreuer: Um den Schweregrad der bei ihnen eingehenden Meldungen zu bestimmen, gaben die Betreuer an, zunächst die Auswirkungen zu bewerten. Sie erwarteten nicht, dass Sicherheitsforscher Ratschläge zur Behebung von Schwachstellen geben, waren aber dankbar, wenn diese angeboten wurden. Die Teilnehmer fühlten sich in der Regel in der Lage, potenzielle Schwachstellen innerhalb der üblichen 90-Tage-Frist für die koordinierte Offenlegung zu beheben.