Wie kann OpenSource sicherer sein als kommerzielle Software?

[Sven Rautenberg]

Moin!

Darüber hinaus: Es ist wesentlich einfacher, eine mögliche Sicherheitslücke durch Analyse des Codes zu entdecken, als die so entdeckte Lücke tatsächlich für böse Sachen auszunutzen. Das erfordert nochmal wesentlich mehr Wissen.

Wieso? Wenn ich eine Lücke finde, dann finde ich die weil ich weiß warum der Code eine Lücke darstellt. Das kann ich aber nur wissen wenn mir bekannt ist wie man diese Lücke ausnutzt, oder?

Ok, die ganz dummen Lücken sind natürlich ganz einfach nutzbar. Sowas ist in größeren Projekten aber mit Sicherheit nicht anzunehmen.

Aber ich hatte unlängst ein Beispiel im Forum gepostet, welches dann leider keine allzu große Beachtung mehr fand: http://forum.de.selfhtml.org/archiv/2003/5/47438/#m259396

Entscheidend zum Nachweis, dass ein Sicherheitsproblem besteht, ist die Tatsache, dass vom Programm benutzte Variablen vom Angreifer mit seinen eigenen Werten vorbelegt werden können. Das ist ein Sicherheitsproblem.

Wie man dieses Problem jetzt ausnutzen könnte, ist in der Problembetrachtung nicht wirklich von Belang. Es ist schwierig, das abzuschätzen (mit Glück ist es nicht schlimm, bzw. hat keine bösen Auswirkungen). Aber genau das ist für den Angreifer, der die Lücke ausnutzen will, entscheidend.

Es geht also im Prinzip darum: Die Sicherheitsprüfung muß nur das Loch finden. Der erfolgreiche Angreifer hingegen muß durch das Loch hindurch irgendwo ankommen, wo er Schaden anrichten kann.

- Sven Rautenberg