Ein Proof of Concept Exploit ist der knappe Beleg dafür, dass sich eine Sicherheitslücke tatsächlich ausnutzen lässt. Er zeigt den einen Schritt, der den Fehler beweist, und hört dort auf, wo ein Angriff weitergehen würde: Statt Schadsoftware nachzuladen, gibt er eine Zeile aus oder öffnet ein harmloses Programm.
- Proof of Concept Exploit
Der knappe Beleg dafür, dass sich eine Sicherheitslücke tatsächlich ausnutzen lässt.
Beispiel: „Der Proof of Concept Exploit bestand aus zwölf Zeilen und öffnete den Taschenrechner.“Auch: kurz PoC-Exploit, im Deutschen Machbarkeitsnachweis. In Meldungen steht oft nur PoC, womit außerhalb der Sicherheitswelt allerdings der Machbarkeitsnachweis für ein Projekt gemeint ist.
Abgrenzung zum einsatzfähigen Exploit: Der ist auf Zuverlässigkeit, Tarnung und viele Fassungen hin gebaut. Ein Nachweis läuft meist nur in einer Umgebung und bricht sonst ab.
Wozu ein Proof of Concept Exploit dient
Als Beweisstück. Eine Meldung ohne ihn gilt bei vielen Herstellern als Theorie und landet weit unten in der Warteschlange; mit ihm lässt sich der Fehler nachstellen und beheben. Betreiber prüfen damit die eigene Lage, und für Erkennungsregeln ist er die Grundlage, weil sich erst am laufenden Angriff ablesen lässt, wie er in den Protokollen aussieht.
Was ein Proof of Concept Exploit nicht zeigt
Die eigene Lage. Er läuft auf einer bestimmten Fassung, in einer bestimmten Einstellung, oft in einem Labor ohne Schutzschichten davor. Wer eine andere Fassung einsetzt oder die betroffene Funktion abgeschaltet hat, steht anders da. Und er sagt nichts über die Dringlichkeit: Ein fehlender Nachweis ist kein Beleg dafür, dass niemand einen hat, siehe Zero-Day-Lücke.
Warum ein Proof of Concept Exploit selbst gefährlich sein kann
Weil ihn jeder veröffentlichen darf. Eine Untersuchung der Universität Leiden hat 2022 rund 47.300 öffentliche Verzeichnisse mit solchen Nachweisen durchgesehen und bei etwa einem Zehntel Anzeichen für Schadcode gefunden, von fremden Adressen über mitgelieferte Programmdateien bis zu verschleierten Nutzlasten. Die Einstufung beruht auf Hinweisen und nicht auf einer vollständigen Prüfung, die Größenordnung ist trotzdem eine Warnung: Der Nachweis zu einer Lücke ist ein beliebter Köder für genau die Leute, die ihn suchen.
Wie mit einem Proof of Concept Exploit zu arbeiten ist
Auf einer Kopie und mit gelesenem Code. Vor dem Lauf gehört der Code angesehen, danach eine Umgebung, die vom Rest getrennt ist, und ein Protokoll, das mitläuft. Das Ergebnis ist zweierlei: die Antwort, ob die eigene Fassung betroffen ist, und ein Muster für die Erkennung. Für fremde Systeme gilt dieselbe Regel wie immer: ohne schriftlichen Auftrag ist der Versuch strafbar, siehe Hacker.