#1 14. Juli 2009 Hackergruppe sagt Sicherheitsindustrie den Kampf an Die öminöse Gruppe Anti-Sec macht weiter von sich Reden. Die von einigen Sicherheitsspezialisten für unverzichtbar gehaltene Politik der "Full Disclosure" bei Schwachstellen arbeite nur der Sicherheitsindustrie in die Arme, klagt die Gruppe im Rahmen ihres Hacks des US-Bildhosters Imageshack am vergangenen Wochende an. Die vollständige Offenlegung mit Veröffentlichung von Exploits diene nur dazu, Schreckenszenarien zu malen, um Leute zum Kauf einer Firewall, Antiviren-Software und der Beauftragung von Auditing-Dienstleitstungen zu bringen. Anti-Sec macht seit mehreren Wochen mit Hacks von Webseiten von sich reden. Auf Imageshack hat sie sämtliche Bilder auf ihr Pamphlet umgeleitet. Die Bewegung hat nach eigenen Angaben sicherheitsbezogene Sites wie astalavista.com aufs Korn genommen, von deren Betreiber sie im weitesten Sinne Hochstapelei annehmen. Durch die Hacks entstand auch das Gerücht, die Gruppe sei im Besitz eines Zero-Day-Exploits für OpenSSH. Im Weiteren heißt es in dem als Bild veröffentlichten Text auf Imageshack, dass mit den Exploits nur Skript-Kiddies gedient sei, die damit auf Beutezug gingen. Wenn es Whitehats wirklich um Sicherheit ginge, dann würden sie nicht einmal absichtlich unbrauchbar gemachte Exploits veröffentlichen, mit denen zumindest die Skript-Kiddies nichts anzufangen wüßten. Als würde das Veröffentlichen des Schadcodes nicht ausreichen, verbreite sich dieser auch noch auf diversen Portalen zum freien Download. Ganz Unrecht hat Anti-Sec mit den Vorwürfen nicht. Zwar verfolgen mittlerweile die meisten seriösen Sicherheitsspezialisten die Politik der Responsible Disclosure und veröffentlichen entweder Informationen zu Lücken und Exploits gar nicht oder erst, wenn der Hersteller einen Patch zum Schließen entwickelt hat. Schaut man aber beispielsweise auf das Exploit-Portal Milw0rm, das seine Arbeit gerade wieder aufgenommen hat, so sind Exploits offenbar das Letzte, woran es der Community derzeit mangelt. Anti-Sec hat es sich nach eigenen Angaben zum Ziel gemacht, Full Disclosure "auszurotten". Dazu wolle man im Netz gegen entsprechende Communities, Unternehmen und Personen vorgehen – wörtlich ist von "Eliminierung" die Rede. Ins Ziel rückt man bereits als Betreiber eines Sicherheitsblogs oder einer Exploit-Seite. Wie ernst man die Drohungen auch nimmt, sie dürften dennoch für neue kontroverse Diskussion um den Sinn und Unsinn der Veröffentlichung von Exploits sorgen und ob das Netz damit sicherer wird. Quelle: heise.de + Multi-Zitat Zitieren