Windows 10-Bug war selbst der NSA für die Eigennutzung zu heiß

Mit dem aktuellen Patch-Day bekommen die Nutzer von Windows 10 ein Update ausgeliefert, das bereits eine ziemlich bemerkenswerte Geschichte hinter sich hat. Denn die Informationen zum Bug stammen vom US-Geheimdienst NSA. Der Fehler selbst war in der CryptoAPI zu finden, die im Konkreten in der Datei crypt32.dll implementiert ist. Diese bietet Anwendungs-Entwicklern die Möglichkeit an, die vom Betriebssystem verwalteten Sicherheits-Zertifikate zur Abwicklung einer verschlüsselten Kommunikation zu verwenden. Und von dieser Möglichkeit wird auch reichlich Gebrauch gemacht.

Über das API werden aber auch die digitalen Signaturen verarbeitet, mit denen vertrauenswürdige Applikationen sich gegenüber dem Betriebssystem ausweisen. Und durch den Fehler konnten diese Signaturen gefälscht werden, ohne dass dies aufgefallen wäre. Angreifern wäre es so möglich, Malware in Windows-Systeme zu schleusen, denen vollumfänglich vertraut wird und der die Sicherheitssysteme dann keine weiteren Hürden bei der Übernahme von Funktionen oder des gesamten Systems mehr in den Weg legen.

Das ist ein wirklich gravierendes Problem - es wiegt so schwer, dass die NSA ihr Wissen über die Schwachstelle an Microsoft weitergab, um die Entwicklung eines Patches zu ermöglichen. Das ist insofern sehr ungewöhnlich, da ein Großteil der Arbeit des Geheimdienstes auf dem exklusiven Wissen über Schwachstellen beruht. Statt also Kenntnisse über Exploits zu nutzen, um die Sicherheit der Anwender zu verbessern, werden sie für Einbrüche in Systeme eingesetzt, von denen dann weitergehende Informationen zusammengetragen werden.

Patch ging vorab an Großkunden

Die Übermittlung der Informationen an Microsoft sorgte nun aber dafür, dass diese Schwachstelle geschlossen werden konnte. Und hier kam es zum zweiten ungewöhnlichen Vorgang rund um den Bug: Eine Reihe Kunden Microsofts haben den Patch schon vorab bekommen. Nach Abgabe einer Verschwiegenheitserklärung wurden bereits verschiedene große Unternehmen und auch staatliche Einrichtungen wie Militäreinheiten versorgt.

Das ist im Grunde ein sinnvolles und verantwortungsvolles Vorgehen der Redmonder. Denn vor allem große Organisationen müssen neue Patches für gewöhnlich vor der allgemeinen Installation eigenen Tests unterziehen. Da aber mit der nun erfolgten Veröffentlichung sofort auch Kriminelle mit der Analyse der Schwachstelle beginnen werden, ist das Absichern kritischer Systeme ein regelrechter Wettlauf gegen die Zeit.

Privatnutzer können und sollten hingegen ab heute mit der Installation des Patches beginnen. Der sinnvollste Weg führt dabei direkt über das Windows Update, über das die neuesten Aktualisierungen bereitgestellt werden.

Siehe auch: Patchday: Kumulative Updates für Windows 10 1903 und 1909 sind da