Windows 10-Bug war selbst der NSA für die Eigennutzung zu heiß

Verschlüsselung, Kryptographie, Code Bildquelle: Christian Ditaputratama (CC BY-SA 2.0)
Mit dem aktuellen Patch-Day bekommen die Nutzer von Windows 10 ein Update ausgeliefert, das bereits eine ziemlich bemerkenswerte Geschichte hinter sich hat. Denn die Informationen zum Bug stammen vom US-Geheimdienst NSA. Der Fehler selbst war in der CryptoAPI zu finden, die im Konkreten in der Datei crypt32.dll implementiert ist. Diese bietet Anwendungs-Entwicklern die Möglichkeit an, die vom Betriebssystem verwalteten Sicherheits-Zertifikate zur Abwicklung einer verschlüsselten Kommunikation zu verwenden. Und von dieser Möglichkeit wird auch reichlich Gebrauch gemacht.

Über das API werden aber auch die digitalen Signaturen verarbeitet, mit denen vertrauenswürdige Applikationen sich gegenüber dem Betriebssystem ausweisen. Und durch den Fehler konnten diese Signaturen gefälscht werden, ohne dass dies aufgefallen wäre. Angreifern wäre es so möglich, Malware in Windows-Systeme zu schleusen, denen vollumfänglich vertraut wird und der die Sicherheitssysteme dann keine weiteren Hürden bei der Übernahme von Funktionen oder des gesamten Systems mehr in den Weg legen.

Das ist ein wirklich gravierendes Problem - es wiegt so schwer, dass die NSA ihr Wissen über die Schwachstelle an Microsoft weitergab, um die Entwicklung eines Patches zu ermöglichen. Das ist insofern sehr ungewöhnlich, da ein Großteil der Arbeit des Geheimdienstes auf dem exklusiven Wissen über Schwachstellen beruht. Statt also Kenntnisse über Exploits zu nutzen, um die Sicherheit der Anwender zu verbessern, werden sie für Einbrüche in Systeme eingesetzt, von denen dann weitergehende Informationen zusammengetragen werden.

Patch ging vorab an Großkunden

Die Übermittlung der Informationen an Microsoft sorgte nun aber dafür, dass diese Schwachstelle geschlossen werden konnte. Und hier kam es zum zweiten ungewöhnlichen Vorgang rund um den Bug: Eine Reihe Kunden Microsofts haben den Patch schon vorab bekommen. Nach Abgabe einer Verschwiegenheitserklärung wurden bereits verschiedene große Unternehmen und auch staatliche Einrichtungen wie Militäreinheiten versorgt.

Das ist im Grunde ein sinnvolles und verantwortungsvolles Vorgehen der Redmonder. Denn vor allem große Organisationen müssen neue Patches für gewöhnlich vor der allgemeinen Installation eigenen Tests unterziehen. Da aber mit der nun erfolgten Veröffentlichung sofort auch Kriminelle mit der Analyse der Schwachstelle beginnen werden, ist das Absichern kritischer Systeme ein regelrechter Wettlauf gegen die Zeit.

Privatnutzer können und sollten hingegen ab heute mit der Installation des Patches beginnen. Der sinnvollste Weg führt dabei direkt über das Windows Update, über das die neuesten Aktualisierungen bereitgestellt werden.

Siehe auch: Patchday: Kumulative Updates für Windows 10 1903 und 1909 sind da Verschlüsselung, Kryptographie, Code Verschlüsselung, Kryptographie, Code Christian Ditaputratama (CC BY-SA 2.0)
Diese Nachricht empfehlen
Kommentieren11
Jetzt einen Kommentar schreiben


Alle Kommentare zu dieser News anzeigen
Kommentar abgeben Netiquette beachten!
Einloggen

Jetzt als Amazon Blitzangebot

Ab 16:20 Uhr Nimaso USB C auf USB C Kabel [3-Pack/0.3M+1M+2M], USB Typ C PD Ladekabel 60W 20V/3Afür Galaxy S10/S9, Huawei P30/P20, Google Pixel 3a/3a XL, iPad Pro 2018, MacBook, Dell XPS 15 und MehrNimaso USB C auf USB C Kabel [3-Pack/0.3M+1M+2M], USB Typ C PD Ladekabel 60W 20V/3Afür Galaxy S10/S9, Huawei P30/P20, Google Pixel 3a/3a XL, iPad Pro 2018, MacBook, Dell XPS 15 und Mehr
Original Amazon-Preis
12,99
Im Preisvergleich ab
12,99
Blitzangebot-Preis
10,19
Ersparnis zu Amazon 22% oder 2,80

Beiträge aus dem Forum

Tipp einsenden