Microsoft ist gegen Belohnungen für Sicherheitslücken

In einem Interview mit der Webseite vnunet.com auf der Konferenz Infosecurity 2007 hat sich Microsoft gegen Belohnungen für das Finden von Sicherheitslücken ausgesprochen. Derartige Programme gibt es von zahlreichen Firmen, beispielsweise Mozilla. "Ich glaube nicht, dass die Bezahlung eine gute Idee ist", sagte Roger Halbheer, Microsoft Chief Security Advisor. "Wir veranstalten in Redmond eine Konferenz namens Bluehat, auf der Forscher sehen können, wie wir arbeiten. Haben sie das einmal gesehen, beginnen sie uns zu vertrauen. Wir sind nicht nachlässig was Patches betrifft, aber die Entwicklung ist ein komplexer Prozess."

So muss ein Patch für den Internet Explorer beispielsweise rund 400 Tests bestehen, bis er für die Öffentlichkeit zur Verfügung gestellt wird. Dadurch zieht sich die Entwicklung oft sehr in die Länge. Entdecker von Sicherheitslücken werden zum Dank in den entsprechenden Security Bulletins erwähnt. Die Mozilla Foundation dagegen verspricht jedem, der eine Sicherheitslücke in den Produkten entdeckt 500 US-Dollar, sowie ein kostenloses T-Shirt.