30498

Microsoft bekommt Lob für Anstrengungen in Sachen Sicherheit

22.09.2006 | 14:23 Uhr |

In Sachen Sicherheit hat Microsoft vor kurzem von einem seiner eigenen Mitarbeiter - nämlich Microsoft Vice President Ben Fathi - die Note 'Gut' bekommen, nachdem das Unternehmen vorher eher in Richtung Befriedigend oder Ausreichend tendierte. Nun gab es auch Lob von anderer Seite, von unabhängigen Sicherheitsexperten.

Code Red, Nimda und Blaster. Diese weit verbreiteten und gefährlichen Würmer, die Schwachstellen in Microsoft Produkten ausnutzten, machten das Redmonder Unternehmen zur Zielscheibe für Witze und zwangen es dazu, seinen Ansatz im Hinblick auf die Sicherheit von Produkten eingehend zu analysieren. "Alle bei Microsoft dachten, dass Windows 2000 ein sehr solides, zuverlässiges Betriebssystem sei, perfekt für den Einsatz in Unternehmensumgebungen", so Ian Hellen, Security Program Manager bei Microsofts Windows Security Engineering Team. "Diese winzigen Stücke an Code haben uns wachgerüttelt, sie sagten uns 'Windows 2000 ist noch nicht da angekommen'. Es ist nicht dazu designt, mit dieser Art von Bedrohungen fertigzuwerden." Das war damals. Mittlerweile heimst Microsoft Lob ein.

Mit dem öffentlichen Release von Vista nur wenige Monate entfernt, tragen Microsofts Anstrengungen, die Sicherheit seiner Produkte zu stärken, erste Früchte. Auch wenn Microsoft noch einiges tun kann, wie Sicherheitsexperten auf der Hack In The Box Security Conference (HITB) in Kuala Lumpur, Malaysia, erklärten. "Microsoft hat eine Drehung gemacht und gesagt 'Ja, wir müssen damit anfangen, sichere Anwendungen zu entwickeln", so Mark Curphey, Vice President of Professional Services bei McAfees Foundstone Division. "Sie haben einen äußerst rigorosen Prozess quer durch das Unternehmen implementiert und nun sehen sie die ersten Früchte ihrer Arbeit." Illustrieren lässt sich der positive Effekt des Prozesses am Beispiel des Microsoft Internet Information Services (IIS) 6: Darin ist nur eine einzige risikoreiche Schwachstelle entdeckt worden, sagt Curphey.

"Sie haben vieles besser gemacht", war auch aus dem Munde von Bruce Schneier, dem Chief Technology Officer von Counterpane Internet Security zu hören, der sich vor wenigen Tagen auf der HITB für eine Herstellerhaftung ausgesprochen hatte - für Fälle in denen Schäden durch fehlerhafte Software auftreten.

Curphey und andere Experten schreiben die positive Entwicklung dem Microsoft Security Development Lifecycle (SDL) zugute, die ein Produkt nun durchlaufen muss. Dies bestätigt auch Hellen, der durch den SDL die Sicherheit in den Mittelpunkt der Produktentwicklung gestellt sieht. Bis zu einem gewissen Grad demonstrieren Windows XP Service Pack 2 und Windows Server 2003 auch dieses Prozedere. "Aber erst mit Windows Vista sind wir in der Lage gewesen, dies umfassend hinzubekommen", so Hellen. Raum für Verbesserungen gibt es aber dennoch.

Eine Sicherheitsverbesserung, die noch aussteht für Vista, ist der Schutz vor der so genannten Blue Pill – dabei wird Virtualisierungstechnik für die heimliche Installation von Kernel-Mode-Rootkits genutzt. Blue Pill, entwickelt von der polnischen Expertin Joanna Rutkowska, wurde zuerst anhand einer Beta-Fassung von Vista demonstriert. Die jüngste Fassung, der RC1, ist gegen diese Angriff auch noch nicht immun, so Rutkowska, die sich "überrascht" zeigte, dass dieses Problem noch nicht gelöst worden sei. Blue Pill nutzt keine Bugs in Vista aus, aber laut Rutkowska wäre Microsoft gut damit beraten, den Aufruf des Kernel-Speichers in Vista zu ändern beziehungsweise zu deaktivieren. Blue Pill könnte dadurch daran gehindert werden, auf den Kernel zuzugreifen und Code auszuführen. Vertreter von Microsoft, die auf der HITB zugegen waren, entgegneten, dass die Firma weiterhin an der Sicherheit von Vista arbeite. Konkrete Versprechen, dass Änderungen durchgeführt würden, um Rechner vor Blue Pill zu schützen, gab es aber nicht.

PC-WELT Dossier: Windows Vista - Alle News, Infos, Details und mehr

Experte fordert Herstellerhaftung für Schäden durch fehlerhafte Software

Note 'Gut' für Microsoft in Sachen Sicherheit

Blue Pill - das unauffindbare Rootkit?

Vista: Sicherheit über alles

0 Kommentare zu diesem Artikel
30498