Ausblick
Die PlayStation 5 (2020 - heute)
Mittlerweile sind auch die Konsolen aus der fünften Generation mindestens einer Sicherheitslücke zum Opfer gefallen. Während die Sicherheitslücke noch nicht vollständig bis in das PlayStation-5-System vordringen kann, so lässt sich dennoch eigener, unlizensierter Code ausführen und vermutlich ist es nur noch eine Frage der Zeit, bis auch die letzte Hürde genommen ist und Vollzugriff auf das System möglich wird. Schließlich haben die Gruppe fail0verflow sowie der Hacker theflow0 bereits durch eine noch nicht veröffentlichtes Exploit Vollzugriff auf das System.2,3
Bisher hat das Team fail0verflow noch keine Responsible Disclosure auf der Plattform HackerOne gegenüber Sony vorgenommen, die Sicherheitslücke befindet sich also vermutlich noch immer in der aktuellsten Systemsoftware-Version. Alternativ kann das Team auch eine optionale Route gewählt haben und abseits des Bug-Bounty-Programms auf HackerOne eine Meldung an Sony getätigt haben.
Hacker
Die Hacker sind in vielerlei Hinsicht die Nutznießer der Bug-Bounty-Programme: Sie haben die Möglichkeit, für ihre Entdeckungen bezahlt zu werden und Unternehmen dabei zu helfen, Sicherheitslücken zu schließen und so die Sicherheit für die Systeme und die Nutzer zu erhöhen. Außerdem werden solche Hacks oft genutzt, um auf Konferenzen Vorträge über das Vorgehen zu halten, was die Sichtbarkeit der Hacker erhöht, beispielsweise hat theflow0 im Juni 2022 einen Vortrag über das BD-J Exploit gehalten.4
Bug Bountys
Bug-Bounty-Programme sind in vielerlei Hinsicht sicherlich sinnvoll, insbesondere das Internet Bug Bounty Programm5 von HackerOne, das gerade für quelloffene Software gedacht ist. Dass Hard- oder Software-Hersteller ihre Software nicht offenlegen können und wollen, ist nachvollziehbar, aber gerade wenn diese Open-Source-Software verwenden, wie beispielsweise Sony es tut, dann muss der Appell sein, diese Lücken auch in den zugrundeliegenden Systemen zu schließen.
Andernfalls wird ein Responsible Disclosure gegenüber einem Hersteller zu einem "Unresponsible Disclosure" gegenüber der Gesellschaft, denn der Hersteller wird die Lücke für sich schließen, die Meldung aber nicht weitertragen, sodass andere Software in der Zukunft weiterhin angreifbar gegenüber den Sicherheitslücken bleibt. Und je nach Ausgestaltung des Bug-Bounty-Programms darf ein Hacker die Information auch nicht weiter veröffentlichen, wenn einer Veröffentlichung nicht zugestimmt wird.
Abschließende Worte
IT-Sicherheit ist ein zunehmend wichtigeres Thema, insbesondere bei den immer intensiver werdenden Cyber-Kriegen. So hat beispielsweise die Tagesschau über "Putins Cyber-Krieg" berichtet.6
Bug-Bounty-Programme können hierbei ein sinnvolles Hilfsmittel sein, solange die Informationen, die in einem solchen Programm zusammengetragen werden, solange die Informationen im Sinne der Hackerethik öffentlich zugänglich sind.
Abschließen möchte ich diese Arbeit mit einem Zitat des Hackers Geohot:1
I wonder if any systems out there are actually secure?