Microsoft veröffentlicht Leitlinien für sichere Software

Microsoft setzt seit einigen Jahren auf den so genannten "Security Development Lifecycle" (SDL), um seine Produkte so sicher wie möglich zu gestalten. Wird nach diesen Richtlinien entwickelt, fließen Sicherheitsthemen schon sehr früh mit ein. Die Vorgaben des SDL wurden wegen der beinahe schon traditionellen Kritik an der angeblich mangelnden Sicherheit diverser Microsoft-Produkte erdacht. Die Redmonder selbst haben sich unter anderem auch bei der Entwicklung von Windows Vista und Office 2007 an die Richtlinien gehalten, was sich bisher in Form einer geringeren Zahl von Schwachstellen bemerkbar macht.


Microsoft wirbt seit geraumer Zeit auch darum, dass andere Softwareanbieter die Richtlinien des SDL übernehmen, um selbst ebenfalls sicherere Produkte zu entwickeln. Die Vorgaben konnten aber bis dato nicht von der Öffentlichkeit eingesehen werden. Das ändert sich nun, denn Microsoft hat jetzt eine entsprechendes Dokument über sein Download Center bereit gestellt.

Es habe einige Zeit gedauert, bis das interne Papier zur Veröffentlichung bereit gewesen sei, so David Ladd von Microsoft im Weblog des SDL-Teams. Die jetzt veröffentlichte Ausgabe sei bearbeitet worden, um sie für die Einsicht der Öffentlichkeit aufzubereiten. Unter anderem wurden bestimmte Referenzen zu internen Ressourcen und Microsoft-spezifische Ausdrücke entfernt, so Ladd.

Das Dokument zeige, wie Microsoft den Security Development Lifecycle einhält, um aufwendige Applikationen für Client- und Serversysteme zu entwickeln. Die darin beschriebenen Prinzipien könne man deshalb nur beschränkt bei der Erstellung von Webanwendungen nutzen, stellte Ladd klar. Weiterhin repräsentiere das Papier nur den aktuellen Stand, es würden aber ständig Anpassungen an aktuelle Gegebenheiten vorgenommen.

Ladd versprach allerdings, dass man auch das frei verfügbare SDL-Papier von Zeit zu Zeit auf den neuesten Stand bringen wolle. Insgesamt soll es Drittentwicklern die Möglichkeit geben, einen Einblick in Microsofts interne Prozesse zur Steigerung der Sicherheit neuer Software zu erlangen.

Informationen & Download: Microsoft SDL Guidelines 3.2 (.docx)