In einem Interview mit NPR All Things Considered im April 2024 sagt der Microsoft-Softwareingenieur Andres Freund, er habe routinemäßige Tests von Open-Source-Software durchgeführt, als ihm etwas Merkwürdiges auffiel: SSH – das Werkzeug, mit dem Administratoren Computer aus der Ferne steuern – „schien zu viele Ressourcen zu verbrauchen“ auf einer Maschine, auf der niemand zur Anmeldung berechtigt war. Die Symptome seien „seltsam genug gewesen, dass ich es vor mir selbst nicht wirklich rechtfertigen konnte, nicht zu wechseln“ – von seiner geplanten Arbeit hin zur Untersuchung.
Beim tieferen Nachforschen fand er eingeschleusten Code in der Open-Source-Software, die Server für Regierungen, Unternehmen und Banken betreibt – eine Hintertür, die es jemandem ermöglicht, sich ohne Berechtigung anzumelden. Wer diesen Zugang besitzt, kann nach seinen Worten so ziemlich alles tun: Banksysteme abschalten, Industrieanlagen stören, Daten stehlen. Freund erinnert sich, dass die Einschleusung mehrere Jahre Arbeit erforderte und mehr Aufwand, als eine einzelne Person bewältigen könnte.
Die Erkenntnis kam langsam, sagt er; er habe immer wieder angenommen, er müsse sich irren, und sei dann wieder zu der Einsicht zurückgekehrt, dass es tatsächlich wahr sein könnte. Nachdem er Alarm geschlagen hatte, hätten sich Entwickler eingebracht und den Fehler behoben, und ein Cybersicherheitsexperte habe gesagt, „die Welt schuldet Andres unbegrenzt Freibier“.
Für Freund liegt das tieferliegende Problem in der Struktur: Die kompromittierte Komponente sei fast zwanzig Jahre lang von einer einzigen unbezahlten Person gepflegt worden, obwohl sie extrem weit verbreitet eingesetzt werde. „Wir hatten hier unvernünftiges Glück, und wir können uns darauf für die Zukunft nicht einfach verlassen“, sagt er.
Die Hintertür wurde nicht von Sicherheitswerkzeugen entdeckt, sondern durch ihren eigenen Nebeneffekt: zusätzliche CPU-Last pro SSH-Anmeldung, die ein Ingenieur nicht als vernachlässigbar abtun wollte.
Die Entdeckung kam durch den eigenen Nebeneffekt der Hintertür – zusätzlichen Ressourcenverbrauch bei SSH-Anmeldungen – und nicht durch eine Sicherheitsüberprüfung oder einen Scan.
Freunds Disziplin war der entscheidende Unterschied: Das Symptom war klein genug, um es zu ignorieren, und er stellte seinen gesamten Plan um, um ihm nachzugehen.
Der Fund hing nach Freunds eigener Darstellung von Glück ab, weshalb er argumentiert, dass sich die Finanzierung der Maintainer ändern müsse, wie es nach Heartbleed geschehen sei.
Kleine unerklärte Anomalien sind billig zu verfolgen und teuer zu ignorieren. Und Infrastruktursoftware sollte nicht zwanzig Jahre lang auf einem einzigen unbezahlten Maintainer ruhen.
Nachdem Freund es gemeldet hatte, ging die Community schnell vor: Leute brachten sich ein und der Fehler wurde behoben, und er wurde ein „Internet-Held“. Im Interview verweist er auf Heartbleed als Vorbild für das, was als Nächstes kommt – nach dieser OpenSSL-Schwachstelle begannen Unternehmen, Maintainer zu bezahlen, damit sich die Sicherheit tatsächlich verbessern konnte, „und das muss häufiger geschehen“.
DEN BELEGEN FOLGEN