Die Sicherheit von Web-Browsern ist ein viel diskutiertes Thema. Gerade wurde in einer Studie noch die Einführung eines Ablaufdatums für Browser gefordert, da kommt die Mozilla Foundation mit einem neuen Modell für Sicherheitsmetrik.

Noch ist das neue Konzept von Mozilla zur Sicherheit von Firefox in der Entwicklung, aber der enthaltene Ansatz verspricht schon jetzt Diskussionspotential. Die Veröffentlichung im Mozilla Security Blog könnte eine schon lange unterschwellig geführte Debatte um Sicherheitskriterien von Web-Browsern endgültig in den Fokus der öffentlichen Diskussion bringen. Helfen könnte dabei  eine Studie der ETH Zürich, nach der fast die Hälfte aller Web-User einen veralteten Browser nutzen und damit ein hohes Risiko eingehen.

Zusammen mit dem IT-Sicherheitsexperten Rich Mogull, dem Gründer von Securosis.com, arbeitet Mozilla bereits seit einigen Monaten an einem neuen Modell zur Sicherheitsmetrik. Ziel der Zusammenarbeit ist ein Konzept, das nicht mehr nur auf die Anzahl der offiziell bereitgestellten Sicherheitsupdates abzielt, sondern auch die Effektivität mit einbezieht und somit eine schnelle Bereitstellung positiv wertet. Mozilla will in einer ersten Entwicklungsphase ein Basismodell entwickeln, anhand dessen verschiedene Parameter gemessen werden, die dann dazu dienen, das Modell zu verfeinern.

Open Base Model soll Standards setzen

Die Projektgruppe sieht die Sicherheit von Web-Browsern nicht als absoluten Zustand an. Vielmehr handele es sich um einen relativen Prozess, der viele Verbesserungen mit sich bringt, aber nie einen absoluten Status erreichen wird, heißt es im Security Blog. Aus dieser Haltung resultiert das zweite Ziel der Projektarbeit: die Entwicklung eines Open Base Models zur Standardisierung und Öffnung für andere Software-Projekte.

Erste Arbeitsschritte lassen sich als Excel-Spreadsheet oder als geziptes .csvs-File downloaden. Kommentare sind ausdrücklich erwünscht.

Fazit und Ausblick

Das offene Sicherheitskonzept von Mozilla könnte langfristig zum Umdenken beim Umgang mit Sicherheitspatches führen. Hat das Projekt Erfolg und finden sich Abnehmer für das Open Base Model, könnte eine hohe Anzahl von Sicherheitsupdates schon bald als Zeichen für eine relativ sichere Software gewertet werden. Derzeit ist eher das Gegenteil der Fall. Je weniger Updates, desto sicherer die Software, so suggerieren es die Software-Entwickler.

Dass ein solches Modell durchaus Erfolg haben kann, hat die Autoindustrie vorgemacht. Hier gehören die einst verpönten Rückrufaktionen mittlerweile zum guten Ton.