Google Project Zero ändert seine Fristen

Google hatte im Rahmen seines Project Zero kürzlich Sicherheitslücken in sowohl Microsoft Windows 7 / 8 / 8.1 als auch dem Apple OS X öffentlich gemacht. Project Zero ist eine Initiative, in deren Zuge Google nach Sicherheitslücken in Anwendungen der Konkurrenz sucht und jene dann darüber informiert bzw. zur Fehlerbehebung auffordert. Korrigieren die Hersteller den Fehler nicht innerhalb von 90 Tagen, gehen alle Informationen zu den gefundenen Problemen für die Öffentlichkeit online. Das führte zuletzt zu viel Kritik, so dass Google nun die Fristen von Project Zero modifiziert hat.

Google hebt hervor, dass man selbst den Zeitrahmen von 90 Tagen bisher für ausreichend gehalten habe, um den Herstellern die Chance zu geben die Probleme mit ihrer Software im Sinne der Kunden zu beheben. Als Beispiel nennt man das Team hinter Adobe Flash, die durch Project Zero auf insgesamt 37 Sicherheitslücken aufmerksam gemacht worden seien. Alle davon habe Adobe innerhalb der Frist von 90 Tagen beheben können. Google lege den Herstellern die Frist von 90 Tagen auf, damit die Behebung der Sicherheitslücken Priorität genieße – denn die Kunden seien am Ende die Leidtragenden.

Um aber die Kritik der jüngsten Zeit aufzugreifen, räume man betroffenen Firmen nun einen Kulanzzeitraum von 14 Tagen ein: Sollte ein Hersteller Google mitteilen, dass nach Ablauf der Frist von 90 Tagen innerhalb der nächsten 14 Tage ein Patch erscheine, werde Google mit der Veröffentlichung der Informationen ausharren. Allerdings behalte man sich für Ausnahmefälle vor die Angaben zu den Sicherheitslücken doch früher herauszugeben.

Mit dieser neuen Strategie reagiert Google auf Kritik durch beispielsweise Microsoft: Jene hatten sich enttäuscht davon gezeigt, dass Google eine Sicherheitslücke im Betriebssystem Windows nach 90 Tagen offen gelegt hatte, obwohl nur einen Tag nach Ablauf der Frist ein Patch fest eingeplant war.

Quelle: Google