Die NSA soll den „Heartbleed“-Bug in OpenSSL bereits seit zwei Jahren gekannt und ausgenutzt haben, das berichtete am Freitag die Nachrichtenagentur Bloomberg. „Heartbleed“ hatte in der letzten Woche viele verunsichert, da der Fehler es ermöglicht hatte, Passwörter und andere sensible Informationen aus Servern auszulesen. Nachdem am Anfang wild spekuliert wurde, ob der Fehler bewusst von Geheimdiensten als Backdoor eingepflanzt wurde, hatte sich dieser Verdacht nicht weiter bestätigt. Zum einen aufgrund der Art des Fehlers, der sich mehr als eine Unachtsamkeit entpuppte, die kurz nach dem Jahreswechsel 2012 Eingang in den Code fand und die nicht besonders gut getarnt gewesen ist als auch aufgrund eines Interviews des deutschen Entwicklers mit dem Sydney Morning Herald, innerhalb dessen er das Entstehen des Fehlers aufgrund einer unterbliebenen Zahlenbereichsprüfung erklärt.
Aber dass die NSA den Code nicht selbst sabotiert hat, heißt noch lange nicht, dass sie nicht trotzdem davon profitieren kann. Und dass die NSA Fehler in Software findet, ist Teil ihrer Aufgabe, wobei sie jedoch offiziellerweise dazu angehalten ist, auf diese Fehler hinzuweisen, um Software und die Welt ein Stückchen sicherer zu machen. Die Öffentlichkeitsbeauftragte der NSA Caitlin Hayden kommentierte gegenüber Bloomberg:
This administration takes seriously its responsibility to help maintain an open, interoperable, secure and reliable Internet. […] Unless there is a clear national security or law enforcement need, this process is biased toward responsibly disclosing such vulnerabilities.
Dementsprechend bestreitet der Geheimdienst, von der Sicherheitslücke gewusst zu haben. Ein Insider, auf den Bloomberg sich beruft, behauptet jedoch, der Bug sei bereits kurz nach seiner Veröffentlichung erkannt worden und ins Standardrepertoire für Spähangriffen aufgenommen worden. Kein Wunder, denn die Verbreitung von OpenSSL ist immens und umfasst einen Großteil der hochfrequentierten, aktiven Server des Netzes. Außerdem war die NSA bereits Ende Dezember wegen der Ausnutzung von Sicherheitslücken in Kritik geraten, als auf dem 30C3 ein „Katalog“ der NSA mit Angeboten für Backdoors und Exploits veröffentlicht wurde.
Am Fall „Heartbleed“ wird ein Problem deutlich, an dem Open Source Software leidet. Der Vorteil, dass Sicherheitslücken und Backdoors erkannt werden können, wenn viele berechtigt sind, Code zu begutachten und zu verändern, ist unbestreitbar. Und natürlich ist es allemal besser als proprietäre Anwendungen, da zumindest die Chance besteht. Aber der Vorteil erscheint beinahe nichtig im Angesicht eines Gegners, der eine schiere Überzahl an Angestellten darauf ansetzen kann, Sicherheitslücken mit professionellen Werkzeugen aufzuspüren. In offener Software als auch in geschlossener, denn wir dürfen davon ausgehen, dass den Geheimdiensten auch weite Teile proprietären Codes zur Verfügung stehen. Die Logik gebietet es, dass sie dadurch immer mehrere Jahre im Vorteil sein werden, was das Aufspüren von Fehlern angeht.
In der NSA-Abteilung, die Sicherheitslücken aufspürt, dürften mehrere hundert oder tausend Experten arbeiten, das Gesamtbudget für „Data Processing and Exploitation“ beträgt Informationen über das Black Budget der amerikanischen Geheimdienste zu Folge 1,6 Milliarden Dollar. Das OpenSSL-Kernteam hingegen besteht lediglich aus vier Personen auf freiwilliger Basis, unterstützt von sieben weiteren Entwicklern – und der Bug wurde nicht einmal von einem dieser Teammitglieder gefunden, sondern von Mitarbeitern von Google und der IT-Sicherheitsfirma Codenomicon. Ein Punkt, an dem man ansetzen kann, denn es würde helfen, wenn die großen Firmen, die von Open Source profitieren, etwas von ihrem Vorteil zurückgeben und aktiv an der Verbesserung des Codes mitarbeiten. An vielen Stellen geschieht das bereits, doch diese Initiativen sind ausbaufähig.
Damit die NSA ihren Vorsprung nicht verliert und Sicherheitslücken auch weiterhin unter dem Deckmantel der Rechtmäßigkeit geheim halten kann, hat US-Präsident Barack Obama in seinen Geheimdienstreformplänen Vorsehungen getroffen. Die New York Times berichtet, die NSA müsse laut Obamas Vorschlag gefundene Schlupflöcher nicht veröffentlichen, wenn dies für die nationale Sicherheit erforderlich sei. Diese Hintertür hatte bei der ursprünglichen Veröffentlichung von Obamas Vorschlägen wenig Beachtung gefunden, da die Kompetenzen aktiver Überwachung in den Fokus der öffentlichen Aufmerksamkeit gestellt wurden.