// HEISE ONLINE — LINUX & OPEN SOURCE
Interview: Zehntausende US-Dollar Schaden durch aufgeblähte Sicherheitswarnungen
Meldungen zu Sicherheitslücken sind für Open-Source-Projekte wichtig – viele davon seien inzwischen aber aufgeblähtes Marketing, meint Peter Gutmann.
Open-Source-Projekte erhalten immer häufiger Sicherheitswarnungen, die von den Herausgebern übermäßig stark beworben werden: Die gemeldeten Lücken bekommen CVE-Nummern, spannend klingende Namen und eigene Werbe-Webseiten. So wollen die Herausgeber eine größtmögliche öffentliche Aufmerksamkeit erzielen. Von der Sache her haben die gemeldeten Schwachstellen oft aber nur eine geringe Relevanz und sind eher theoretischer Natur.
Peter Gutmann ist Wissenschaftler am Department of Computer der University of Auckland und beschäftigt sich mit dem Entwurf und der Analyse kryptografischer Sicherheitsarchitekturen, der Usability von Sicherheitssystemen und der Sicherheit eingebetteter Systeme. Er war an der Entwicklung des bekannten Verschlüsselungspakets PGP beteiligt und hat zahlreiche Artikel sowie RFCs zu den Themen Sicherheit und Verschlüsselung verfasst, insbesondere maßgeblich das weltweit am längsten bestehenden Sicherheits-RFC 8894.
Jetzt ist er Entwickler des Open-Source-Toolkits cryptlib und Autor des Buches „Cryptographic Security Architecture: Design and Verification“. Demnächst wird sein neues Werk „Engineering Security“ erscheinen.
Die Maintainer der betroffenen Projekte können sie jedoch wegen der künstlich erzeugten Bekanntheit nicht ignorieren und müssen sie aufwendig prüfen. Der Schaden geht oft in die Zehntausende, weil neue Evaluierungen fällig werden und Unternehmen, die die betroffene Bibliothek im Einsatz haben, regieren müssen.
Der australische Sicherheits- und Kryptografieexperte Peter Gutmann (PGP und crytlib) warnt vor den negativen Folgen und Kosten dieser Kampagnen, da sie die Open-Source-Teams unnötig belasten. Auf der OpenSSL-Konferenz im Oktober in Prag wird er einen Vortag zu diesem Thema halten, heise developer hat im Vorfeld dieses schriftliche Interview mit ihm geführt.
Am 22. und 23. September findet die heise devSec 2026 statt. Im Fokus der Konferenz zu sicherer Softwareentwicklung stehen dieses Jahr unter anderem die sichere Software Supply Chain und der Security-Aspekt bei Agentic AI in der Softwareentwicklung.
Gutmann spricht darin über neben Stunt Cryptography auch über den allgegenwärtigen AI Slop, der Maintainer zusätzlich belastet.
Du nennst solche künstlich aufgeblähten Sicherheitswarnungen Stunt Cryptography. Wie unterscheiden sie sich von früheren Fällen, die ja auch schmissige Namen hatten wie Stuxnet oder Heartbleed?
Das ist keine organisierte Kampagne und auch nichts Böswilliges – es ist ein natürlicher Nebeneffekt der Art, wie Publikationen in der Sicherheitsforschung funktionieren. Wer normalerweise einen Buffer Overflow in Apache entdeckt, bekommt eine CVE-Nummer, die Lücke wird gepatcht, und alle gehen wieder ihrer Arbeit nach, ohne dass es groß jemand bemerkt.
Wer als Forscher oder Akademiker wahrgenommen werden will, braucht dagegen etwas Ausgefallenes. Das ist wie der Unterschied zwischen mir, der ein Stück Kuchen verschwinden lässt – das interessiert niemanden – und einem Zauberer, der ein ganzes Gebäude verschwinden lässt: Darüber reden alle. Um ein Konferenzpaper unterzubringen, muss man also etwas sehr Kreatives und Ungewöhnliches machen, und das ist in der Regel umgekehrt proportional zu seinem Nutzen als tatsächlichem Angriff. Echte Angreifer wollen etwas Einfaches: einen Buffer Overflow, der auf jedem angegriffenen System zu Remote Code Execution führt – nicht etwas, das drei Tage Vorbereitung und weitere drei Tage Laufzeit braucht, um auf einem einzigen System zehn Bit an Daten zu erbeuten.