Google stärkt die Sicherheit von Open-Source-Software

Google hat ein neues Projekt namens “OSS Rebuild” ins Leben gerufen, das die Sicherheit von Open-Source-Software deutlich verbessern soll. Der Kern des Projekts ist die reproduzierbare Erstellung bekannter Softwarepakete, ohne dabei zusätzliche Anforderungen an die ursprünglichen Entwickler zu stellen. Das Hauptziel besteht darin, die Transparenz in der Software-Lieferkette zu erhöhen und Angriffe auf weit verbreitete Abhängigkeiten zu erschweren.

OSS Rebuild richtet sich gezielt an Sicherheitsverantwortliche in Unternehmen und stellt ihnen Werkzeuge bereit, die es ermöglichen, Build-Prozesse automatisiert nachzubilden und zu verifizieren. Besonders im Fokus stehen zunächst Pakete aus den Ökosystemen PyPI (Python), npm (JavaScript/TypeScript) und Crates.io (Rust). Dabei werden Build-Definitionen genutzt, die aus den Originalpaketen abgeleitet und durch sogenannte SLSA-Attestierungen (Supply-chain Levels for Software Artifacts) ergänzt werden. Dadurch kann zuverlässig nachvollzogen werden, wie ein Softwarepaket erstellt wurde.

Die Bedeutung von Open Source

Laut Google repräsentieren Open-Source-Komponenten mittlerweile etwa 77 Prozent moderner Anwendungen und stellen mit einem geschätzten Gesamtwert von über 12 Billionen US-Dollar einen wesentlichen Bestandteil der digitalen Infrastruktur dar. Gleichzeitig nehmen gezielte Supply-Chain-Angriffe zu, wie beispielhaft an Fällen wie xz-utils oder solana/webjs im Jahr 2024 zu sehen ist. Diese Angriffe führten zur Einschleusung kompromittierter Builds in vertrauenswürdige Projekte. Herkömmliche Gegenmaßnahmen erfordern häufig die Mithilfe der Maintainer, wohingegen OSS Rebuild bewusst auf deren aktive Beteiligung verzichtet.

Unerwünschte Veränderungen verhindern

Das OSS Rebuild Tool dient dazu, zu prüfen, ob ein öffentlich zugängliches Software-Artefakt mit seiner dokumentierten Quellcode-Historie übereinstimmt. Dabei können auch subtile Veränderungen erkannt werden, wie etwa Backdoors, die nur in bestimmten Build-Umgebungen aktiviert werden. Für komplexe Pakete stehen zusätzliche manuelle Spezifikationen und der Einsatz Künstlicher Intelligenz zur Verfügung, sodass auch ältere oder schwer reproduzierbare Pakete abgesichert werden können.

Mehr Sicherheit mit weniger Aufwand

Neben den Sicherheitsvorteilen für Endnutzer verspricht OSS Rebuild auch Entlastung für Paket-Maintainer, da die Notwendigkeit, sicherheitskritische Continuous-Integration-Pipelines aufrechtzuerhalten, sinkt. Für Unternehmen wird die Reaktion auf Schwachstellen erleichtert, indem verifizierte Builds und präzisere Software-Billas-of-Materials (SBOMs) bereitgestellt werden. Alle Funktionen sind über eine Kommandozeilen-Toolschnittstelle zugänglich, die Rebuild, Provenance-Abruf und Paketvergleich umfasst.

Kampf gegen Internetbetrug und Online-Scams

Google rüstet seine Produkte mit neuen KI-gestützten Sicherheitsfunktionen auf, um Internetbetrug und Online-Scams zu bekämpfen. Ein zentrales Element dabei ist das KI-Modell Gemini Nano, das Nutzer vor verdächtigen Webseiten, betrügerischen Portalen und Phishing-Angriffen warnen soll.

SAP-Sicherheitslücke und kostenlose Tools

Sicherheitsexperten haben ein kostenloses Tool entwickelt, das Unternehmen dabei unterstützt, Cyberangriffe zu erkennen, die eine schwerwiegende Sicherheitslücke in SAP-Systemen ausnutzen. Diese Lücke ermöglicht es Angreifern, die vollständige Kontrolle über betroffene Server zu erlangen.

Schwachstelle im Google-Chrome-Browser

Forscher von Kaspersky haben eine bisher unbekannte Schwachstelle im Google-Chrome-Browser identifiziert, die offenbar für gezielte Spionageangriffe genutzt wurde. Der bloße Besuch einer manipulierten Webseite reicht aus, um Malware auf das betroffene System zu bringen.