Sicherheitslücken in Software

Der Begriff Sicherheitslücke wird meist in Zusammenhang mit Computersicherheit erwähnt, allerdings unter vielen verschiedenen Umständen.

Im weitesten Sinne bedeutet der Begriff eine Verletzung einer Sicherheitsrichtlinie. Das kann durch schwache Sicherheitsrichtlinien kommen oder weil in der Software selbst ein Problem besteht. Theoretisch haben alle Computersysteme Sicherheitslücken; ob diese ernst sind oder nicht, hängt davon ab, ob sie missbraucht werden, um dem System Schaden zuzufügen.

Es gab schon viele Versuche, den Begriff Sicherheitslücke klar zu definieren und die beiden Bedeutungen zu trennen. Die von der US-Regierung finanzierte Forschungs- und Entwicklungsgruppe MITRE fokussiert sich darauf, kritische Sicherheitsprobleme zu analysieren und zu lösen. Die Gruppe hat folgende Definitionen aufgestellt:

MITREs CVE-Terminologie:

[…] Eine universelle Sicherheitslücke ist ein Zustand in einem Computersystem (oder einer Reihe von Systemen), der es…

…einem Angreifer ermöglicht, Kommandos als ein anderer Nutzer auszuführen
…einem Angreifer ermöglicht, auf Daten zuzugreifen, auch wenn die Zugriffsbeschränkungen der entsprechenden Daten dies nicht zulassen würden
…einem Angreifer ermöglicht, sich als jemand oder etwas anderes auszugeben
…einem Angreifer ermöglicht, einen Denial Of Service durchzuführen
MITRE geht davon aus, dass wenn ein Angriff durch eine schwache oder unpassende Sicherheitsrichtlinie ermöglicht wird, dies besser als Exposure beschrieben werden sollte:

Eine Exposure ist ein Zustand in einem Computersystem (oder einer Reihe von Systemen), der keine universelle Sicherheitslücke darstellt, sondern…

  • …einem Angreifer erlaubt, Informationen zu sammeln
  • …einem Angreifer erlaubt, seine Aktivitäten zu verbergen
  • …eine Möglichkeit enthält, die sich wie erwartet verhält, aber einfach kompromittiert werden kann
  • …ein primärer Eintrittspunkt ist, den ein Angreifer nutzen kann, um Zugriff auf das System oder die Daten zu bekommen und der von einer vernünftigen Sicherheitsrichtlinie als Problem eingestuft wird
  • …wenn ein Angreifer beim Versuch, unautorisierten Zugriff auf ein System zu erlangen, zunächst einen Routine-Scan des Zielobjekts durchführt, Daten sammelt und dann Schwächen in der Sicherheitsrichtlinie oder eine Sicherheitslücke ausnutzt. Sicherheitslücken und Exposures sind daher beides wichtige Punkte, die man prüfen muss, wenn ein System vor unautorisiertem Zugriff geschützt werden soll.