Cybersicherheitsforscher und Behörde im Konflikt um öffentliche Schwachstellenenthüllungen

Indiens nationale Cybersicherheitsbehörde CERT-In hat den unabhängigen Cybersicherheitsforscher Nisarga Adhikary aufgefordert, die öffentliche Bekanntgabe von von ihm entdeckten Schwachstellen einzustellen, bevor diese behoben werden.

Adhikary lehnte die Aufforderung ab, insbesondere wenn die betroffenen Organisationen oder CERT-In nicht innerhalb einer angemessenen Frist von etwa 3-4 Wochen auf die bekannt gegebenen Schwachstellen reagieren. Der Forscher betont, dass er seine Arbeit unabhängig und verantwortungsbewusst ausführt, im Gegensatz zu bezahlten Beamten, denen er vorwirft, "sinnlose Regeln" aufzuerlegen.

Laut Adhikary gibt er den Organisationen 3-4 Wochen Zeit, um Probleme zu beheben, und veröffentlicht keine umsetzbaren Proof-of-Concepts oder Details. Er erlangte zuvor Aufmerksamkeit durch die Aufdeckung von Schwachstellen in den Systemen des Central Board of Secondary Education (CBSE) in Indien, woraufhin er eine Stelle am IIT Kanpur erhielt. Er hat auch die Schwierigkeiten der Behörde bei der Behebung gemeldeter Sicherheitslücken und teilweise deren technische Kompetenz hervorgehoben.

Der Forscher behauptet, dass CERT-In oft versagt, Schwachstellen zu beheben und die Anerkennung für die Forschung beansprucht. Ein weiterer Cybersicherheitsexperte, Karan Saini, hat zuvor das technische Team von CERT-In kritisiert und erklärt, dass öffentliche Gelder für Cybersicherheit in Indien weitgehend verschwendet werden.