Google Code Search macht Hackern das Leben leicht

Schwachstellen sind leichter zu finden

Sicherheitsexperten warnen vor dem neuen Feature Google Code Search http://code.google.com . Open-Source Fundgruben können nun leichter als je zuvor auf Schwachstellen in den Programmen durchsucht werden, was sich Hacker zunutze machen könnten. Zwar konnte man auch schon früher nach spezifischen Strings suchen, doch jetzt durchkämmt die Suchmaschine den Code um einiges besser. "Das macht es einfacher und schneller für Angreifer, Sicherheitslücken zu finden - und zwar nicht für Leute, die eine bestimmte Website attackieren wollen, sondern für Leute, die irgendeine Seite attackieren wollen", meint Chris Wysopal vom Securityunternehmen Veracode http://www.veracode.com gegenüber SecurityFocus http://www.securityfocus.com .

Das neue Tool ist seit Donnerstag zum öffentlichen Gebrauch freigegeben. Es sammelt die riesigen Mengen an Open-Source Code, die im Internet vorhanden sind und erstellt eine Datenbank, die leicht zu durchsuchen ist. So kann man beispielsweise Code finden, der regulären Ausdrücken entspricht und die Suchanfragen können auf bestimmte File-Typen und Lizenzen eingeschränkt werden. Doch auch die klassische Google Suchmaschine kann Hacker zu Servern mit bestimmten Schwachstellen führen. Würmer und Viren haben auch versucht, die Suchmaschine zu benutzen, um Listen der potenziellen Opfer zu erstellen.

Google weist ausdrücklich darauf hin, dass Code Search als Hilfe für Programmierer gedacht sei, um Coding-Beispiele und undurchsichtige Funktionsdefinitionen zu finden, aber natürlich nicht, um Hackern das Leben leicht zu machen. Und doch können schon simple Suchbegriffe wie "todo + security" Programme auflisten, die unimplementierte Sicherheitsfunktionen haben. Ein möglicher positiver Aspekt ist jedoch, dass auch die Aufmerksamkeit von Programmierern, die nichts Böses im Sinn haben, auf die Schwachstellen gelenkt wird und diese dadurch schneller behoben werden können.

(Quelle: pte