Französisches Sicherheitsportal schließt öffentlichen Exploit-Bereich

Das französische Sicherheitsportal FrSIRT (French Security Incident Response Team), ehemals K-otik, hat überraschend seinen öffentlichen Download-Bereich für Exploits geschlossen. Nach Angaben des FrSIRT war dieser Schritt notwendig, weil das öffentliche Anbieten von Exploit-Code den französischen Gesetzen widersprach. Anwender werden zwar weiterhin kostenlos über aktuelle Sicherheitslücken informiert, wer allerdings den Code zum Testen der Lücken haben möchte, muss den kostenpflichtigen Vulnerability Notification Service (VNS) abonnieren. Einen genauen Preis veröffentlicht FrSIRT auf seinen Seiten aber nicht.

Der Schritt erweckte auf einigen Sicherheitsmailinglisten Argwohn, die angestrebte Gesetzeskonformität sei nur vorgetäuscht. FrSIRT ginge es eher darum, seinen bereits 2003 etablierten VNS in den Markt zu drücken. Immerhin ist das angesprochene Gesetz bereits seit Juni 2004 in Kraft. Zudem beschwerten sich einige Sicherheitsspezialisten, dass das FrSIRT mit den von ihnen auf freien Mailinglisten veröffentlichten Advisories und Exploits Geld verdiene und damit ihr Copyright verletze.

Auf Nachfrage von heise Security erklärte die Presseabteilung, das Gesetz verbiete nur den Import, die Speicherung und das Anbieten von Exploits ohne berechtigten Grund. Nach Lesart des FrSIRT bietet der Vulnerability Notification Service den Rahmen, um die Exploits rechtmäßig einer geschlossenen Gruppe von Sicherheitsspezialisten anzubieten, ähnlich wie es auch Symantec mit seinem DeepSight Alert Service und ISS mit seiner Threat Analysis tun. Dabei könne man davon ausgehen, dass dort nur die "Good Guys" Abonnenten seien, die "Bad Guys" blieben außen vor. Auf den Vorwurf der Urheberrechtsverletzung ging die Stellungnahme nicht ein.

Wer will, hat aber auch weiterhin die Möglichkeit, kostenlos an Exploits zu gelangen, etwa in der Exploit-Section auf Securiteam, Packetstorm oder Milw0rm. (dab)