GitLab animiert Hacker-Community zu Pentrationstests Bug-Bounty-Programm von GitLab

Durch den Open-Source-Ansatz von GitLab hat sich eine aktive Gemeinschaft von mehr als 3.000 Experten gebildet, die an der Weiterentwicklung mitwirken. Doch wie steht es um die Sicherheit dieses Tools?

Ein wichtiger Punkt bei der Entwicklung von Software ist eine saubere Verwaltung der verschiedenen Versionen. Diese sollte automatisiert vonstattengehen, da manuelle Schritte zu Fehlern bei der Verwaltung der codierten Softwaremodule führen können. Das Ergebnis wäre ein chaotischer Entwicklungsablauf.

Mit GitLab von der gleichnamigen Softwareschmiede können Entwickler ihre Softwareversionen automatisiert verwalten. Die Lösung wird zur Verwaltung des gesamten DevOps-Lebenszyklus verwendet und von mehr als 100.000 Organisationen auf der ganzen Welt eingesetzt. Um den Community-Gedanken hinter GitLab zu verstehen, schauen wir zuinächst noch einmal auf die Anfänge des Open-Source-Projekts zurück.

GitLab entstand als Webanwendung zur Versionsverwaltung für Softwareprojekte auf Git-Basis. Hinzu kamen später Funktionen zur Fehlersuche, mit GitLab CI ein System zur kontinuierlichen Integration, das Nutzerverwaltung, Runner, Wiki, Kanban-Board, Container-Registry, Sicherheitsscanner für Container und Sourcecode, Multi-Cluster-Verwaltung und -Überwachung sowie einige Funktionen mehr beinhaltet. GitLab ist in Entwicklungswerkzeugen integrier- und selbst über eine API fernsteuerbar. Grundlage für die Entwicklung von GitLab waren die Programmiersprachen Ruby und Go.

Natürlich ist ein System, das die Versionsverwaltung automatisiert einer der Schlüsselelemente in der Softwareentwicklung vieler Unternehmen. Umso wichtiger ist es, dass es stabil läuft und vor allem böswilligen Angriffen widersteht. Herkömmliche Testmethoden, bei denen das GitLab-Entwicklerteam selbst Schwachstellen nachgeht, können nur ein erster Schritt sein. Sie denken eben wie Entwickler, aber nicht wie (kriminelle) Angreifer.

Offizielle Einladung zum Hacken

Um GitLab unter realen Bedingungen zu testen, gingen die Sicherheitsverantwortlichen bei GitLab daher einen etwas ungewöhnlichen Weg: Sie ließen ihre Management-Plattform von Hackern angreifen. Was anfangs wie eine verwegene Idee klingt, ist tatsächlich der einzige Weg, schnell existierende Schwachstellen zu identifizieren. Bei der angewendeten Methode handelt es sich um eine Richtlinie zur Offenlegung von Sicherheitslücken (Vulnerability Disclosure Policy, VDP). Ein VDP ist ein formaler Kanal, durch welchen Hacker Schwachstellen melden können.

Seit 2014 nutzt GitLab diese VDP, die dabei hilft, auf überschaubare und methodische Weise zu skalieren. VDPs sind dabei eine bewährte Sicherheitspraxis für jede Organisation, unabhängig von Größe oder Branche. Sie ist auch dabei behilflich, mit der Hacker-Community in Kontakt zu treten. Gleichzeitig unterstützt sie interne Sicherheitsteams bei Triage, Kommunikation und Verwaltung interner Prozesse, die zur Auswertung und Weiterleitung eingehender Berichte zur Lösung erforderlich sind.

Während GitLab seine internen Prozesse weiterentwickelte und stärkte, wollte das Unternehmen auch die Zusammenarbeit mit Hackern verbessern, wie es mit Hackern umgeht. Dazu startete es mit einem VDP, welches keine Rewards inkludiert. Anschließend erweiterten sie die Arbeit zu einem privaten Programm, zu welchem Hacker gezielt eingeladen werden und Rewards erhalten können.

Mit Start des öffentlichen Bug-Bounty-Programms akzeptiert GitLab nun Reports der gesamten Hacker-Community. Mit der Auslobung von Prämien wird klar, wie wertvoll GitLab die Arbeit der Hacker einschätzt. Dabei erhöhten sich dadurch gleichzeitig die Erwartungen der Hacker in Bezug auf Kommunikation und Antwortzeiten. Hier kommt HackerOne ins Spiel, das GitLab bei der Durchführung dieses Programms unterstützt.

HackerOne ist eine Plattform zur Koordination von Schwachstellen und Bug-Bounty, die Unternehmen mit Penetrationstestern und Cyber-Sicherheitsforschern verbindet. Ein Bug-Bounty-Programm ist dabei ein Angebot, mit dem Hacker Anerkennung und Prämien für das Melden von Bugs erhalten können – insbesondere bei Sicherheitslücken und Schwachstellen. Bis Juli 2020 hatte das Netzwerk von HackerOne 100 Millionen US-Dollar an Prämien ausgezahlt und ist mittlerweile die größte Plattform ihrer Art.

Über die Kooperation von GitLab und HackerOne

Im Rahmen des Bug-Bounty-Programms haben die White-Hat-Hacker mittlerweile mehr als 550 Schwachstellen gefunden, dokumentiert und gemeldet. Dafür erhielten sie bisher insgesamt mehr als 1,2 Millionen Dollar an Prämien.

„Die Pflege der Beziehungen mit der Hacker-Community ist der Pflege der Beziehungen mit der Entwickler-Community ähnlich“, betont James Ritchey, Sicherheitsmanager bei GitLab, der das Bug Bounty-Programm leitet. „Zu den wichtigsten Punkten gehören transparente Kommunikation, Vertrauensbildung, Respekt und Wertschätzung ihrer Rückmeldungen und die Anerkennung durch die Belohnung von Prämien. Die Nutzung der HackerOne-Plattform hilft uns bei der Pflege dieser Beziehungen und ergänzt die GitLab-Mission, zu der jeder beitragen kann.“

Entsprechend sieht GitLab die Zusammenarbeit mit HackerOne sehr positiv. Durch die Zusammenarbeit mit HackerOne bei der Verwaltung des Bug-Bounty-Programms erhielt GitLab den sofortigen Zugang zu äußerst talentierten Sicherheitsforschern. Außerdem konnte die Softwareschmiede das eigene Bug-Bounty-Programm besser durchführen und so auch andere Bereiche stärken, die für den raschen Ausbau der IT-Sicherheitsabteilung erforderlich sind.

Die Erfahrung von GitLab bei der Einführung, Verbesserung und Erweiterung ihres von Hackern betriebenen Sicherheitsprogramms ist ein gutes Modell für Organisationen und Sicherheitsteams jeder Größe. Ihr „Crawl, Walk, Run“-Ansatz, das ursprüngliche VDP zu einem privaten und dann öffentlichen Programm auszuweiten, hilft Entwicklern, die Sicherheit der fertiggestellten Anwendungen anhand der Beiträge der Hacker zu erhöhen.

Hier liegt der Schlüssel darin, klein anzufangen und zu wachsen beziehungsweise zu iterieren (ein weiterer zentraler Wert von GitLab), und zwar in einem frei wählbaren Tempo. „Unser Prämienprogramm für die Erkennung von Software-Bugs stellt sicher, dass GitLab den höchsten Standard bei der kontinuierlichen Sicherheitsabdeckung erreicht“, fügt Johnathan Hunt, VP IT-Security bei GitLab, hinzu. „Es festigt unseren verteidigungsorientierten Ansatz zur Sicherung unserer Kunden und ihrer Daten durch kontinuierliche Tests von Experten auf der ganzen Welt.“

(ID:46749338)