Kommentar zum SoSS-Report 11 von Veracode Open Source Libraries brauchen ein Sicherheitsupdate

Open Source steht für schnelle und flexible Veränderung, der Fortschritt darf Cyberkriminellen und Sicherheitslücken aber nicht Tür und Tor öffnen. Einen Einblick in die Sicherheit von Open Source Libraries gibt die Open-Source-Edition des „State of Security“-Reports.

Im Zuge der fortschreitenden digitalen Transformation, aber auch im Bereich der Softwareentwicklung rücken Open Source Libraries immer mehr in den Fokus. Das Bundesministerium des Innern, für Bau und Heimat testet gemeinsam mit den Ländern Nordrhein-Westfalen und Baden-Württemberg eine Plattform zur Entwicklung von Open-Source-Software für die Öffentliche Verwaltung. Das Ziel: Digitale Souveränität ausbauen und Software länderübergreifend entwickeln.

Eine Open-Source-App, die bundesweit bereits genutzt wird, ist die Corona-Warn-App. Hier kam es Anfang Juli zu einem Aufschrei, da es Externen gelungen war, einen QR-Code nachzubauen und damit ein Impfzertifikat für den lange verstorbenen Robert Koch zu fälschen. Folglich wurde die Sicherheit der Softwarekomponenten der Applikation, die unter einer Apache-Lizenz vollständig öffentlich zugänglich sind, in Frage gestellt.

Ausgangspunkt war in diesem Fall keine „echter“ Programmierfehler, der für eine Anfälligkeit sorgte, sondern eine ein logischer Fehler in der App. Trotzdem machte der Vorfall deutlich, dass die Integration der Software-Sicherheit stärker kontrolliert und die Prozesse verbessert werden müssen.

SoSS v11: Open Source Edition

Einen Überblick über die Sicherheit von Open Source Libaries bietet der aktuelle Report von Veracode. Für den SoSS v11: Open Source Edition wurden 13 Millionen Scans von mehr als 86.000 Repositories mit mehr als 301.000 Libraries analysiert. Für einen umfassenden Einblick in die Sicherheit von Open Source Libraries, und um einen Überblick über verschiedene Arbeitsweisen zu erhalten, wurden zusätzlich fast 2.000 Entwickler befragt.

Im Zentrum der Erkenntnisse steht der Wandel: Nichts ist so sicher wie die Veränderung im Bereich Open Source Libraries. Zum einen schwanken die bevorzugten Libraries innerhalb der jeweiligen Programmiersprachen enorm. Während bei .NET (Newtonsoft.Json), JavaScript (inherits), Ruby (rake), Python (six) und Java (SLF 4J API Module) die gleichen Libraries den ersten Platz belegen, waren es bei den Programmiersprachen Go (/x/net), PHP (psr/log) und Swift (SwiftLint) Libraries, die 2019 den zweiten (/x/net, psr/log) und sogar den elften (SwiftLint) Platz belegt hatten.

Zum anderen schwankt neben der Beliebtheit auch die Sicherheit der verschiedenen Libraries. Hier belegen bei .NET (System.Text.RegularExpressions), Go (/x/text), JavaScript (lodash), Java (jackson-databind), Python (urllib3) und Swift (nanopb) die gleichen Libraries den ersten Platz bezüglich der Anfälligkeit für Sicherheitsrisiken wie im Jahr 2019. Bei den Programmiersprachen PHP (zendframework/zendframework1) und Ruby (rack) waren es Libraries, die 2019 den dritten (rack) und siebten (zendframework/zendframework1) Platz belegt hatten.

Informationen bringen Geschwindigkeit

Unsicherheit prägt das Arbeitsumfeld von Entwicklern. Gute Nachrichten gibt es aber bezüglich ihrer Reaktionszeit. Werden Entwickler auf Schwachstellen aufmerksam, beheben sie diese schnell – 17 Prozent der Sicherheitsrisiken werden innerhalb einer Stunde, 25 Prozent innerhalb einer Woche behoben.

Ein ungebremster und effizienter Informationsfluss muss im Bereich der Softwareentwicklung mit Open Source daher in Zukunft priorisiert werden. Ohne Informationen über Schwachstellen benötigen Entwickler mehr als sieben Monate, um 50 Prozent der bestehenden Sicherheitsrisiken zu beheben – mit den notwendigen Informationen benötigen sie lediglich drei Wochen.

Wie Entwickler mit ihrem Mindset die Sicherheit von Open-Source-Libraries beeinflussen

Entwickler müssen in Zukunft ihre Update-Frequenz ausbauen. 79 Prozent der Bibliotheken von Drittanbietern werden nach der Aufnahme in eine Codebasis von den Entwicklern nie aktualisiert. Dabei müssen sie erkennen, dass Updates nicht so viel Arbeit bedeuten, wie sie vermuten. 65 Prozent der Updates, die ein weiteres Update nach sich ziehen, sind geringfügig und umfassen maximal eine kleine Änderung der Version. Dadurch beeinträchtigen die Updates nicht einmal die Funktionalität der komplexesten Softwareanwendungen.

Das Umdenken der Entwickler ist wichtig und verspricht schnellen Erfolg und mehr Sicherheit, denn 92 Prozent der analysierten Schwachstellen in einer Library können bereits mit einem Update behoben werden. Von diesen sind ganze 69 Prozent maximal eine geringe Veränderung der Version.

Neben neuen Update-Regelungen brauchen Entwickler auch eine neue Herangehensweise bei der Auswahl der Bibliotheken. Der SoSS v11: Open Source Edition deckt auf: lediglich 52 Prozent der befragten Entwickler verfolgen einen formalen Prozess bei der Auswahl von Libaries von Drittanbietern. Fragt man diese Entwickler nach einer immer geltenden Priorität, nennen 67 Prozent Funktionalität, 63 Prozent nennen Lizensierung und lediglich 53 Prozent geben an, dass Sicherheit immer eine Priorität ist.

Der SoSS v11: Open Source Edition zeigt, wie wichtig ein Umdenken auf Seiten der Entwickler ist. Sie müssen ihre Update-Frequenz erhöhen, um dem sich schnell wandelnden Umfeld gewachsen zu sein. Gleichzeitig müssen sie Sicherheit bei der Auswahl ihrer Open Source Libraries priorisieren. Für Unternehmen bietet es sich wiederum an, einen ungebremsten Informationsfluss zu fördern und einen formalen Prozess zu etablieren, der Entwicklern hilft, die Auswahl der Libraries im Sinne des Unternehmens zu treffen.

* Julian Totzek-Hallhuber ist Solution Architect bei Veracode.

(ID:47829476)