Hallo Tom!

So ungefähr. Ich kann mir nicht vorstellen, dass hier alles breitgelatscht werden muss.

Wie jeder andere, der es ich bisher dazu befragt habe sehe ich keinen Grund das zu löschen.

1. Steht das schon an zig anderen stellen im Netz.
2. Ist es keine "Anleitung zu einer Straftat" sondern eine allgemeine Information zum Thema.

MfG
Götz

Hi,

Vermutlich ging es wohl um wahsagas vorschnelles Posting, welches Tom wohl
besser im datentechnischen Jenseits wissen will: https://forum.selfhtml.org/?t=91350&m=549394

Warum war das vorschnell? Finde ich gar nicht!

So ungefähr. Ich kann mir nicht vorstellen, dass hier alles breitgelatscht werden muss.

Doch, es muß und ich würde sogar einen Artikel dazu vorschlagen. Das ist ein sehr wichtiges Thema, man kann da recht schnell auf die Schnauze fallen.

Der Hauptgrund, das sowas nicht unter den Teppich gekehrt werden darf, ist der, das Unwissenheit ein stark erhöhtes Sicherheitsrisiko darstellt. Darüber herrscht Konsens. Wenn Du mir nicht glaubst: frag' Bruce Schneier. (Es gibt aber - Gott sei Dank - auch noch andere seines Kalibers)

Worüber kein Konsens herrscht ist der Zeitpunkt der Veröffentlichung der Fehlermeldung. Soll man zuerst den Autoren anschreiben und ihm zwecks Fehlerbehebung einen Tag o.ä. Zeit geben oder sofort veröffentlichen? Bei OpenSource Programmen sind es meist nur ein paar Stunden, die zur Fehlerbehebung reichen, die würde ich schon aus reiner Höflichkeit warten. Aber wie sieht es bei großen Firmen aus? Da wird zum Teil auch nach Monaten nichts getan!

Und wie sieht es bei Fehlern aus, die wirklich schlimm sind, Leib und Leben gefährden könnten? Sollte man da nicht sofort veröffentlichen, damit zumindest abgeschaltet werden kann bis zur Veröffentlichung des Patches?

Schwierige Fragen, die man keineswegs pauschal beantworten kann.

Das ist aber nur die Meldung, das überhaupt ein Fehler besteht. Dazu muß man keinen Exploit veröffentlichen. (Es hilft aber dem Autoren, wenn man einen gebastelt hat und ihm schickt. Das vereinfacht das Debugging.)

Aber wann darf man einen Exploit veröffentlichen? Gibt es einen Grund, der der Veröffentlichung sogar einen Nutzen zuweist?

Ich persönlich finde, das man den Exploit erst nach dem Patch veröffentlichen sollte. Zumindest mit etwas Zeit zwischen der Fehlermeldung und der Exploitveröffentlichung. Ein Tag sollte da aber reichen.

Mit der SQL-Injection ist jedoch sogar ein Grund vorhanden, die eine Veröffentlichung des Exploits nötig macht, da es genügend Closed-Source Produkte gibt, die ein direktes Patchen nicht erlauben und deren Hersteller entweder verstorben sind oder bei der Reaktion auf Fehlermeldungen ähnliche eines Toten reagieren. Dort ist dann ein Filter nötig. (Ist er sowieso. Ich würde nie im Leben eine Datenbank ohne Firewall betreiben! Es gibt natürlich Ausnahmen, aber dafür muß man schon recht ... äh ... selbstbewußt sein.)

Aber wie soll der Filter wirken? Muß ich mir das selber rausfummeln? Dabei kann ich aber die Hälfte übersehen. Oder auch nur ein winziges aber leider tödliches Detail. Es ist also ausführliche und vor allem öffentliche Diskussion nötig. Dazu gehört auch die genaue Beschreibung eines oder, falls vorhanden, mehrerer Exploits.

Das ist dem einfachem Mann auf der Straße ... und Frau! Und Frau! ... doch nich' gleich hauen, Stonie! .... nicht unbedingt klar. Schließlich diskutieren da auch Leute noch drüber, denen das _eigentlich_ klar sein sollte.
Nur, weil sich jemand so vehement gegen die Veröffentlichung eines Exploites wehrt gleich Böses zu unterstellen, fände ich also nicht sehr nett.

so short

Christoph Zurnieden

gudn tach!

Hehe, danke. Ich werd dich allerdings nur noch mit »LL Coolando« anreden >
ich hab jetzt wieder kein gutes Gefuehl. Was heisst LL? Lady Lover?

nah dran. afaik hiess ll cool j = ladies love cool James

prost
seth

ps. disclaimer: ich habe in diesem posting namen von rappern/hip hopern genannt. fuer all diese gilt: ich moechte ausdruecklich betonen, dass ich keinerlei einfluss auf die gestaltung auf die musik/texte der genannten rapper/hip hoper habe. zudem mag ich deren musik ueberhaupt nicht. deshalb distanziere ich mich hiermit ausdruecklich von allen inhalten aller stuecke aller genannter kuenstler in diesem posting und mache mir ihre inhalte nicht zueigen. diese erklaerung gilt fuer alle in diesem posting genannten rapper/hip hoper!