Nach Log4j ist Open-Source-Software jetzt ein nationales Sicherheitsproblem

Jan 14 2022

Seit Jahren sagen Entwickler kostenloser Open-Source-Software jedem, der zuhört, dass ihre Projekte eine bessere finanzielle Unterstützung und mehr Aufsicht benötigen. Jetzt, nach einer Reihe katastrophaler Vorfälle mit Open-Source-Code, hören die Bundesregierung und das Silicon Valley möglicherweise endlich zu.

Bei einem Treffen im Weißen Haus am Donnerstag trafen sich Führungskräfte einiger der größten Unternehmen des Technologiesektors mit Verwaltungsbeamten, um die Notwendigkeit einer besseren Sicherheit in der Open-Source-Community zu erörtern. Die Teilnehmerliste umfasste unter anderem große Namen wie Google, Facebook, Microsoft, Amazon, Oracle und Apple.

Im Gegensatz zu proprietärer Software ist O -Pen-Source-Software kostenlos, öffentlich einsehbar und kann von jedem verwendet oder modifiziert werden. Da Open-Source-Tools so nützlich sein können, werden sie von großen Unternehmen häufig für Entwicklungszwecke verwendet. Aber leider brauchen Open-Source-Projekte Aufsicht und Finanzierung, um sicher zu bleiben – und sie bekommen sie nicht immer. Seit Jahren beschweren sich Open-Source-Entwickler darüber, dass ihre Software eine bessere Unterstützung von Big Tech und anderen institutionellen Akteuren benötigt – ein Thema, das endlich etwas Aufmerksamkeit im Mainstream erlangt.

Es ist nicht schwer zu verstehen, warum das Weiße Haus gerade jetzt seine Sitzung einberufen hat. Erst vor etwa einem Monat wurde ein schädlicher Fehler in der beliebten Open-Source-Apache-Logging-Bibliothek log4j gefunden. Das problematische Programm, das von fast allen verwendet wird, führte zu weit verbreiteter Panik in der gesamten Technologiebranche, als Unternehmen sich bemühten, die Systeme und Produkte zu patchen, die sich für den Erfolg auf die Bibliothek stützten. (Beamte der Apache Software Foundation waren bei dem Treffen am Donnerstag ebenfalls anwesend.)

Log4j ist nicht das einzige Open-Source-Debakel, das in letzter Zeit aufgetreten ist. Erst letzte Woche beschloss der Schöpfer zweier weit verbreiteter Software-Tools , sie auf unerklärliche Weise durch eine Reihe bizarrer Software-Updates zu deaktivieren. Marak Squires, der Mann hinter den beliebten JavaScript-Bibliotheken Faker und Colors , hat die Programme auf seltsame Weise geblitzt und es geschafft, Tausende anderer Softwareprojekte zum Erliegen zu bringen, die sich für den Erfolg auf sie verlassen haben.

Kurz gesagt: Es gibt eindeutig Raum für Verbesserungen, und zum Glück scheinen die Teilnehmer des jüngsten Treffens im Weißen Haus dafür ziemlich zugänglich zu sein. Bei dem Treffen bezeichnete der nationale Sicherheitsberater des Weißen Hauses, Jake Sullivan, Open-Source-Software offenbar als „wichtiges nationales Sicherheitsproblem“. In ähnlicher Weise veröffentlichte Kent Walker, President of Global Affairs und Chief Legal Officer von Google, am Donnerstag eine Erklärung im Unternehmensblog, in der er argumentierte, dass er eine bessere Unterstützung für die Open-Source-Community sehen möchte.

„Zu lange hat sich die Software-Community in der Annahme getröstet, dass Open-Source-Software aufgrund ihrer Transparenz im Allgemeinen sicher ist, und in der Annahme, dass „viele Augen“ zusehen, um Probleme zu erkennen und zu lösen“, sagte Walker. „Aber während einige Projekte viele Augen auf sie richten, haben andere nur wenige oder gar keine.“

In seiner Erklärung schlägt Walker außerdem eine verstärkte öffentliche und private Unterstützung für Open-Source-Projekte, die Einrichtung von Sicherheits- und Test-Baselines und die Entwicklung einer Rubrik zur Identifizierung „kritischer“ Projekte vor – der Art, die viel genutzt wird (d. h. wahrscheinlich etwas wie log4j).

Was genau die Regierung und andere Mitglieder von Big Tech für eine bessere Open-Source-Sicherheit im Sinn haben, ist an dieser Stelle nicht ganz klar, aber die Tatsache, dass sie darüber sprechen, scheint ein gutes Zeichen zu sein.