bk99.de entertain the web since 1997

bk99.de
hß · SicherheitKuratiert

Sichere Softwareentwicklung nach dem "Security by Design"-Prinzip

Zusammenfassung

heise Developer stellte 2009 das Prinzip „Security by Design“ vor, das Firmen wie Adobe, Google, Microsoft, Oracle/Sun und Symantec praktizierten. Sicherheit wird dabei als ausdrückliche Anforderung von Beginn an geplant, umgesetzt und getestet. Konsequent angewendet verschiebt es sogar die Auslieferung, bis Sicherheitsfehler oberhalb einer definierten Schwelle behoben sind.

Ideen

  • Sicherheit wird als Anforderung formuliert, nicht nachträglich ergänzt.
  • Maßnahmen reichen von der Planung über die Umsetzung bis zum Test.
  • Ein Schwellenwert für Sicherheitsfehler kann die Auslieferung stoppen.

Einsichten

  • Späte Sicherheitskorrekturen sind teurer als früh eingeplante Maßnahmen.
  • Ein verbindliches Freigabekriterium gibt Sicherheit dasselbe Gewicht wie Funktionalität.

Fakten

  • Als Anwender nannte der Artikel Adobe, EMC, Google, Microsoft, Oracle/Sun und Symantec.
  • Microsofts Security Development Lifecycle gilt als Vorbild des Ansatzes.

Referenzen

Kritik

  • Die Meldung ist ein Hinweis auf einen Artikel und nennt keine Methoden, Kosten oder Messgrößen.

Empfehlungen

  • Lege für eigene Projekte fest, welche Schwere von Sicherheitsfehlern eine Veröffentlichung verhindert.
  • Plane Bedrohungsmodellierung und Sicherheitstests als feste Schritte im Entwicklungsprozess ein.

Originalartikel lesen →

Im Webarchiv suchen

hß · 2026

Der Security-Coprozessor in vielen CPUs ist unsicher

Im August 2026 wurden zwei Lücken im Referenzcode der Trusted Computing Group für Firmware-TPMs (fTPM 2.0) bekannt, den AMD und Intel in ihre BIOS-Versionen übernehmen. CVE-2026-6727 ist ein Timing-Seitenkanal bei RSA-OAEP, CVE-2026-6726 erlaubt es, verworfene Schlüssel durch falsche zu ersetzen. Ausnutzen lassen sie sich nur mit lokalem, privilegiertem Zugriff, relevant sind sie vor allem für Firmengeräte.

hß · 2012

hß Security Update-Check wegen Sicherheitslücke stillgelegt

heise Security legte im August 2012 seinen Online-Update-Check still, weil er Java voraussetzte und Java 7 gerade eine hochkritische, bereits ausgenutzte Lücke hatte. Die Lücke betraf alle Browser mit Java-7-Plugin; Module für das Exploit-Kit Blackhole waren schon im Umlauf, ein Patch von Oracle noch nicht angekündigt. Als Alternative empfahl heise den lokal installierten Personal Software Inspector.

hß · 2007

Kritische Lücke in Norton Antivirus und Internet Security

Symantec meldete 2007 kritische Lücken in Norton AntiVirus 2006, Norton Internet Security und SystemWorks, über die eine präparierte Webseite einen Windows-PC übernehmen konnte. Ursache waren zwei ActiveX-Controls in NAVCOMUI.DLL mit fehlerhafter Verarbeitung bestimmter Objekte. Die Updates liefen bereits über LiveUpdate, die Enterprise-Produkte waren nicht betroffen.