Cert-In bittet Teenager-Forscher, öffentliche Schwachstellen offen zu legen

Die indischen Behörden haben einen 19-jährigen Sicherheitsforscher aufgefordert, die Offenlegung von Software-Schwachstellen zu verzögern, bis sie behoben sind, was zu einem hitzigen Austausch zwischen dem Individuum und der wichtigsten Cybersicherheitsagentur des Landes führte. Das indische Computer Emergency Response Team (Cert-In), das unter dem Ministerium für Elektronik und Informationstechnologie (MeitY) arbeitet, hat Berichten zufolge Nisarga Adhikary eine formelle Mitteilung übermittelt und ihn gebeten, öffentliche Ankündigungen zu ungelösten Problemen zu unterlassen.

Adhikary, der dafür bekannt ist, Schwächen im Online-Bewertungssystem des Central Board of Secondary Education (CBSE) in Indien zu enthüllen, antwortete stark und wies die Anfrage zurück und beschuldigte Cert-In der Ineffizienz. Laut Adhikary hat er seit Februar 2026 mehr als 200 Schwachstellenberichte an Cert-In eingereicht, die hauptsächlich auf Systeme des privaten Sektors abzielen.

Er behauptete weiter, dass die Agentur versucht, ihn davon abzuhalten, seine Arbeit fortzusetzen, und versucht, die von ihm identifizierten Schwachstellen für sich in Anspruch zu nehmen. Eine Botschaft von Cert-In vom 28. August besagte, dass Adhikaris Enthüllungen vorzeitig seien und drängte ihn, die öffentliche Diskussion über ungelöste Schwachstellen zu beschränken. Die Agentur bat ihn, sie in zukünftige Offenlegungszeitpläne einzubeziehen, unter Bezugnahme auf ihre Politik für verantwortungsvolle Offenlegung und Koordinierung von Schwachstellen.

Ein hochrangiger MeitY-Beamter erklärte, dass die Offenlegung potenziell böswilligen Akteuren erlauben könnte, die Schwachstellen auszunutzen, und fügte hinzu, dass die letztendliche Verantwortung bei den Organisationen liegt, die die betroffenen Systeme besitzen, um die notwendigen Patches zu implementieren. Adhikary war in den sozialen Medien bis zum Vorfall lautstark gewesen. Am 28. August kündigte er an, dass er über 100 kritische Sicherheitsberichte zur Vorlage bei Cert-In hat.

In seiner Antwort an die Agentur verwies er auf den CBSE-Fall und behauptete, dass diese Mängel ohne seine öffentliche Intervention möglicherweise nicht behoben worden wären. Adhikary stellte klar, dass er Organisationen in der Regel drei bis vier Wochen vor der Offenlegung von Schwachstellen öffentlich zur Verfügung stellt und den Austausch von Proof-of-Concept-Code, Reproduktionsschritten, Endpunkten oder Anmeldeinformationen vermeidet. Trotz dieser Vorsichtsmaßnahmen behauptet er, dass der Druck, öffentlich zu offenlegen, auf das langsame Tempo der Auflösung durch die relevanten Agenturen zurückzuführen ist.

Karan Saini, ein weiterer unabhängiger Sicherheitsforscher mit Sitz in Neu-Delhi, äußerte ähnliche Ansichten und erklärte, dass Cert-In historisch langsam und nicht transparent war, insbesondere in Bezug auf kritische Infrastruktur. Er wies auf Verzögerungen bei der Behebung von Schwachstellen im Zusammenhang mit der Aadhaar-Datenbank, dem ZIPNET-System der Polizei von Delhi, dem Right to Information (RTI) -Portal und der Website der Wahlkommission hin. Saini argumentierte, dass die öffentliche Offenlegung oft die einzige effektive Methode ist, um sicherzustellen, dass Korrekturen umgesetzt werden, und stellte fest, dass mehrere seiner gemeldeten Schwachstellen erst behoben wurden, nachdem er genügend Details offen gelegt hatte, um auf die Probleme aufmerksam zu machen.