Project Zero ist ein Team von Google, das die Aufgabe hat, Schwachstellen zu finden und sie den Herstellern zu melden. Es ist nicht unumstritten, da gelegentlich Details zu Schwachstellen vor einem Patch veröffentlicht werden. Zu diesem Zweck wird Project Zero seinen Offenlegungszeitraum um einige Zeit verlängern .
Nach den alten Regeln hatten Softwareanbieter 90 Tage Zeit, um einen Patch zu veröffentlichen, nachdem Google dem Anbieter eine Schwachstelle gemeldet hatte. Unabhängig davon würde es die Zero-Day-Schwachstelle der Öffentlichkeit offenbaren, oft mit genügend Details, dass ein Angreifer die Informationen verwenden könnte, um Exploits zu erstellen. Schließlich fügte Google eine optionale Nachfrist hinzu, die Softwareanbieter anfordern konnten, wenn ein Patch kurz vor der Fertigstellung stand.
Kritiker behaupten, dass die strenge Frist die Öffentlichkeit gefährdet, wenn das Unternehmen aktiv an einer Lösung arbeitet, das Problem jedoch so kompliziert ist, dass es nicht in 90 Tagen gelöst werden kann. Andere weisen darauf hin, dass einige Unternehmen möglicherweise nicht geneigt sind, ohne das harte Fenster überhaupt einen Patch zu erstellen. Der öffentliche Druck trägt dazu bei, den Softwareanbieter davon zu überzeugen, dort zu handeln, wo es sonst nicht möglich wäre.
Diesen Mittelweg zu finden, ist der schwierige Teil, und Google sagt, dass es Anpassungen vornehmen wird, um Bedenken der breiteren Sicherheitsgemeinschaft auszuräumen. Im Jahr 2021 wird es weitere 30 Tage warten, um Details einer Schwachstelle offenzulegen, wenn ein Anbieter einen Patch veröffentlicht, bevor das 90-Fenster endet. Die Idee ist, Benutzern Zeit zu geben, Updates zu installieren und sie zu schützen. Wenn ein Anbieter jedoch ein Kulanzfenster anfordert, wird dies das 30-tägige Aktualisierungsfenster beeinträchtigen.
Das gilt für einen Fall, in dem Google keine Schwachstelle entdeckt hat, die bereits aktiv missbraucht wird. Zuvor hatte Google innerhalb von sieben Tagen nach der Benachrichtigung alle Einzelheiten offengelegt. In Zukunft wird es die Schwachstelle nach sieben Tagen offenlegen, aber mit der Veröffentlichung technischer Details weitere 30 Tage warten.
All das gilt nur für 2021, denn nächstes Jahr will Google alle Fenster etwas verkürzen. Ab 2022 wird Project Zero auf ein „84 + 28″-Modell umstellen – 84 Tage bis zur Veröffentlichung plus weitere 28 Tage bis zu vollständigen Details. Project Zero hofft, dass die Verkürzung der Zeitfenster eine schnellere Patch-Entwicklung fördern wird. Es schlägt auch vor, auf Tage umzusteigen durch sieben teilbar verringert die Wahrscheinlichkeit, dass ein Abgabetermin auf ein Wochenende fällt – wenn Softwareanbieter normalerweise arbeitsfreie Tage haben.
Quelle: Projekt Null