Lehren aus "Einmal Wurm mit Ansagen"
Das Auftauchen eines Wurms wie W32.Blaster war seit Wochen absehbar und ließ sich trotzdem nicht verhindern. Statt untätig auf den Master-Blaster zu warten, müssen jetzt die Weichen umgestellt werden.
In einem Interview zum aktuellen Windows-Wurm wollte eine Sat1-Reporterin von mir unbedingt einen Vergleich mit einer Naturkatastrophe, der man machtlos gegenübersteht. Tatsächlich kann einen angesichts der Entstehungsgeschichte dieses Wurms ein Gefühl der Hilflosigkeit beschleichen. Denn W32.Blaster war ein Wurm mit Ansagen (siehe auch: Exploit für Windows-RPC-Bug im Umlauf)
Vor fast vier Wochen wurde die Schwachstelle im RPC/DCOM-Code von Microsoft Windows bekannt. Seitdem gab es von Microsoft auch Patches, die den Fehler beseitigen und Aufrufe, diese zu installieren. Denn von Anfang an war klar, dass etwas wie W32.Blaster kommen würde. Wer wollte, konnte im Internet detailliert verfolgen, wie die Exploits Schritt für Schritt verfeinert wurden.
Anfangs funktionierten sie nur mit ausgewählten Windows-Versionen, später konnte ein Exploit die Schwachstelle auf 48 verschiedenen ausnutzen. Er ließ sich allerdings noch nicht automatisieren, weil man die richtige Windows-Version von Hand auswählen musste. Dann kam ein Exploit, der nur noch zwischen Windows XP und 2000 unterschied. Ab da war es nur noch eine Frage von Tagen, bis jemand den publizierten Code für einen Wurm benutzt.
Vier Wochen steuerten wir auf eine absehbare Katastrophe zu und konnten sie nicht abwenden. Doch trotzdem hat das Ereignis genauso wenig mit einer Naturkatastrophe zu tun wie die Überschwemmungen im letzten Jahr. Denn die Probleme beruhen nicht auf Naturgesetzen, auf die wir keinen Einfluss haben, sonndern resultieren aus Fehlentwicklungen der letzten Jahre.
Microsoft zieht sich auf den bequemen Standpunkt zurück, man habe alles richtig gemacht: Die Verantwortung läge jetzt beim Anwender, der die Updates nicht rechtzeitig eingespielt hätte. Doch damit macht es sich der Quasi-Monopolist zu einfach.
Es stimmt: Obwohl der Patch fast vier Wochen verfügbar war, haben ihn tausende von Privatanwendern nicht eingespielt. Anwender, die ihren Rechner einfach nur nutzen wollen, um im Internet zu surfen und E-Mails zu schreiben, schauen nicht nach Sicherheits-Updates. Und die existierenden, automatischen Update-Möglichkeiten sind offensichtlich immer noch zu unbequem. Hier muss Microsoft nachbessern.
Mein Vorschlag wäre, die Update-Funktion aller Heimanwender-Versionen von Windows so zu ändern, dass sie nur noch von Leuten mit ausreichenden Kenntnissen abgeschaltet werden kann. Gleichzeitig gilt es, das Herunterladen der wichtigen Sicherheitspatches so zu automatisieren, dass es den normalen Internet-Betrieb nicht wesentlich einschränkt und keine übermäßigen zusätzlichen Kosten verursacht. Das wäre technisch ohne weiteres machbar. Erst vor der eigentlichen Installation informiert das System den Benutzer, dass jetzt ein wichtiges Update eingespielt wird. Bricht er diesen Vorgang ab, wird er beim nächsten Anmelden erneut gestartet.
Natürlich müsste Microsoft parallel dazu eine kostenlose Hotline einrichten, die bei Problemen mit diesen Updates weiterhilft. Vielleicht führten deren Kosten auch gleich dazu, dass man die Qualitätssicherung bei den Patches verbessert. Dem mittlerweile allgegenwärtigen Verdacht, Microsoft würde heimlich Daten sammeln und heimlich auf eigene Server übertragen, könnten die Redmonder am besten entgegentreten, indem sie den Quellcode der Update-Funktionen offenlegten und so demonstrierten, dass der Prozess keine Daten über den Anwender verschickt.
Und wo wir gerade beim Offenlegen von Quellcode sind: Die Redmonder haben eben erst mit Windows Server 2003 ihr "neuestes und sicherstes Betriebssystem" veröffentlicht. Den gesamten Quellcode habe man auf Sicherheitslücken untersucht und verbessert, war da zu hören. Trotzdem finden polnische Sicherheitsexperten nur wenige Monate danach einen schwerwiegenden Fehler, der schon seit Jahren unentdeckt im Netzwerk-Code von Windows schlummerte. Deutlicher kann eine Firma kaum demonstrieren, dass sie Sicherheitsprobleme der eigenen Produkte nicht selbst in den Griff bekommt.
Angesichts des möglichen volkswirtschaftlichen Schadens, den solche Leichen im Keller anrichten können, ist es meiner Ansicht nach nicht länger zu verantworten, auf eine Offenlegung zumindest der sicherheitsrelevanten Teile des Codes zu verzichten. Open-Source-Systeme wie Linux demonstrieren seit Jahren eindrücklich, dass in offengelegtem Quellcode Fehler schneller gefunden und beseitigt werden.
Wenn Microsoft den Quellcode nicht selber freigibt, müssen das Politiker und Juristen erzwingen -- oder eben die Endanwender und Firmen, indem sie massenhaft zur Konkurrenz überlaufen. (ju)
