Mailing-Liste Full Disclosure ist wieder verfügbar

Gordon Lyon ist der neue Administrator der anonymen Security-Mailing-Liste Full Disclosure. Für den Nachfolger müssen sich Nutzer jedoch erneut anmelden. Das schreibt, Lyon in einem Blog. Er hat bereits in der Vergangenheit eine Reihe von Nmap-Listen verwaltet.

Der langjährige Administrator von Full Disclorsure, John Cartwright, hatte vergangene Woche die Arbeit eingestellt. Er erklärte den Schritt damit, dass er diesen Kampf nicht weiter fortsetzen könne. Aufgrund der Rechtslage stiegen die Anforderungen für den Betrieb eines offenen Forums immer weiter.

“Es gibt keine Ehre unter Hackern mehr. Es gibt keine echte Gemeinschaft. Es gibt herzlich wenig Kenntnisse”, schrieb Cartwright. “Das deutet alles auf zukünftige Entwicklungen voraus und zeigt den traurigen Zustand eines Wirtschaftszweigs, der nie einer hätte werden sollen. Ich setze diesen Dienst permanent aus. Danke fürs Mitspielen.”

Lyon bot daraufhin an ihm auszuhelfen. Zwar lehnte Cartwright die Hilfe ab, erlaubte aber die Fortführung der Mailing-Liste. Lyon schreibt nun bescheiden: “Wenn ich das so lang wie John durchziehen kann, und mit wenigstens einem Teil seines Geschicks, werde ich es als Erfolg ansehen. Zunächst stelle ich ein Freiwilligenteam mit Moderatoren aus den aktiven Listenmitgliedern zusammen, denn dies muss von und für die Community betrieben werden!”

Zudem teilte er mit, dass die neue Full-Disclosure-Liste vorsichtig moderiert werde. Für die Offenlegung von Sicherheitslücken sei eine Mailing-Liste deutlich besser geeignet als Alternativen wie Social Media. “Manche glauben, dass Full Disclosure nicht mehr benötigt wird, oder gar, dass Mailing-Listen als Konzept überflüssig sind. Sie sagen, Forscher sollten einfach Links zu Advisories auf Pastebin oder Firmenseiten tweeten. Ich bin nicht dieser Meinung. Mailing-Listen schaffen ein dauerhaftes Archiv, und ihre dezentrale Anlage erschwert eine Zensur ebenso wie stillschweigende spätere Änderungen.”

Im Jahr 2002 nahm Full Disclosure die Arbeit auf und ermöglichte anonyme Berichte über Sicherheitsprobleme, ohne dass man zuvor unbedingt mit dem betroffenen Unternehmen gesprochen hatte. Die Kritik an dem Projekt war damals lauter als heute. Dennoch ziehen es Software-Anbieter vor, über Schwachstellen informiert zu werden, bevor diese an die Öffentlichkeit gelangen.

[mit Material von Florian Kalenda, ZDNet.de]

Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.