Schwachstellenforschung: Zero Day Initiative feiert 20. Geburtstag

Die Zero Day Initiative (ZDI) von Trend Micro ist 20 Jahre alt. Anlässlich des Jubiläums verweist das Cybersicherheits-Unternehmen auf den eigenen Erfolg: Es hat sich in dieser Zeit zum größten herstellerübergreifenden Programm zur koordinierten Offenlegung (Coordinated Disclosure) von Schwachstellen in Software entwickelt. Seit zwei Jahrzehnten vermittelt Trend Micro die Ausschüttung von Prämien („Bug Bounty“) für entdeckte Sicherheitslücken.

Trend Micro erinnert daran, dass das Programm 2005 eher bescheiden angefangen hat. Ins Leben gerufen hat es die Cybersecurity-Firma Tipping Point. Ziel war es, Sicherheitsforscher finanziell zu belohnen, wenn sie bis dato unbekannte Sicherheitslücken an die jeweiligen Hersteller melden. Erst nachdem diese die Fehler beseitigt haben, veröffentlicht ZDI Details der Lücken. So sollen keine Attacken motiviert werden, bevor die Sicherheitslücken geschlossen sind.

Pwn2Own eng verbandelt

Auch der Exploit-Wettbewerb Pwn2Own, der dieses Jahr erstmals in Berlin stattfand und einige der weltbesten Finder von Schwachstellen anzog, ist seit seiner Erfindung im Jahr 2007 eng mit der Zero Day Initiative verbunden. 2015 hat Trend Micro dann Tipping Point für 300 Millionen US-Dollar gekauft und damit auch die Verantwortung für die ZDI übernommen.

Laut einer von Trend Micro zitierten Zählung verantwortungsvoll offengelegter Sicherheitslücken wurden allein im Vorjahr 73 Prozent über die Zero Day Initiative weitergegeben. Trend Micro erklärt, dass sie ihre Kunden im Schnitt zwei Monate eher vor darüber gemeldeten Sicherheitslücken schützen können als die betroffenen Softwarehersteller.

Mittlerweile arbeiten in dem Unternehmen über 450 Forschende in 14 sogenannten Threat Centern. Außerdem tragen 19.000 unabhängige Forschende ihre Ergebnisse bei.

(mma)