FAQ zu Schwachstellenmeldungen

Das DFN-CERT folgt bei der Bearbeitung von Schwachstellenmeldungen den hier aufgeführten
Regeln.

Die Liste der unterstützten Systeme finden Sie hier:

Wenn Nutzer die Informationen zu Schwachstellen bisher über die Mailingliste „win-sec-ssc“ erhalten
haben und nun auf das DFN-Security Portal umsteigen, erhalten Sie Meldungen zunächst doppelt.
Schicken Sie in dem Fall bitte eine formlose Mail an cert@dfn.de, wir werden Sie dann aus der alten
Liste austragen. Danach erhalten Sie nur noch die im DFN-Security Portal konfigurierten Mails.
Bitte beachten Sie, dass Nutzer in vielen Fällen nicht direkt auf der Mailingliste „win-sec-ssc“
abonniert sind, sondern über einen lokalen Verteiler, z. B. „security@hs-musterstadt.de“. In diesem
Fall lassen Sie die Austragung bitte lokal vornehmen

Es gibt neben dem Archiv im DFN-Security Portal mit allen Informationen für Portalnutzer noch
ein öffentliches Archiv der bisher versandten Informationen zu Schwachstellen. Das öffentliche
Archiv ist unter https://adv-archiv.dfn-cert.de/ erreichbar.

Zusätzlich steht Ihnen ein RSS-Feed des öffentlichen Archivs unter https://adv-archiv.dfn-
cert.de/rss/latest zur Verfügung. Für Nutzer des DFN-CERT Dienstes kann im DFN-Security Portal ein
personalisierter RSS-Feed angelegt werden.

Der wichtigste Teil der Konfiguration besteht in der Auswahl der Systeme, für die man Informationen
zu Schwachstellen erhalten möchte. Dabei ist es sowohl möglich, gezielt ein einzelnes System
anzugeben (z. B. Debian) als auch eine „Systemfamilie“ (z. B. Linux). Auch Kombinationen
verschiedener Systeme sind möglich. Zusätzlich kann konfiguriert werden, ob man die Informationen
in einer Kurz- oder Langfassung erhalten möchte. Während in der Langfassung alle Informationen
stehen, enthält die Kurzfassung weniger Informationen und ist für einen schnellen Überblick
geeignet.

Der Dienst kann grundsätzlich von jedem Nutzer an einer der teilnehmenden Einrichtungen unter der
Adresse genutzt werden. Hierzu ist neben einem Zertifikat aus der DFN-PKI für den Portal-Login eine
Einladung in das Portal durch eine Handlungsberechtigte Person (HP-CERT) der Einrichtung
notwendig. Frei zugänglich ist das Schwachstellenarchiv (siehe unten).

Werden in einer Software Fehler bekannt, so kann das Vorhandensein dieser sogenannten
Schwachstellen erhebliche Sicherheitsrisiken bewirken. Z. B. können unberechtigte Personen Zugang
zu geschützten Informationen erlangen. Für viele verbreitete Systeme werden deshalb vom DFN-
CERT Informationen über neu bekannt gewordene Schwachstellen so schnell wie möglich an die
Nutzer weitergegeben, so dass diese Gegenmaßnahmen – zumeist das Einspielen von Patches –
ergreifen können.