Bedrohungen für die Software-Lieferkette bei Open-Source-Software (OSS) und Ausblick auf 2025

OSS als Angriffsvektor

Open-Source-Software (OSS) hat sich in den letzten zehn Jahren aufgrund ihrer weiten Verbreitung und des Fehlens eines Modells geteilter Verantwortung zu einem bedeutenden Bedrohungsvektor entwickelt. Bei mehr als 5 Millionen verfügbaren OSS-Paketen nutzen rund 90 % des modernen Codes diese Pakete, die bei vielen Unternehmen bis zu 80 % der Codebasis ausmachen. Der Mangel an Governance und Transparenz macht OSS jedoch zu einem idealen Ziel für Supply-Chain-Angriffe.

Supply-Chain-Angriffe haben seit 2021 um 431 % zugenommen und werden auch 2025 ein hohes Risiko darstellen. Da Cyberkriminalität ein Geschäft ist, das auf dem Verhältnis von Aufwand zu Ertrag beruht, kann die Kompromittierung eines einzelnen OSS-Pakets zu mehreren Sicherheitsverletzungen führen und viele Unternehmen gleichzeitig treffen.

Spezifische Bedrohungen für die OSS-Supply-Chain

1. Fehlende SBOM (Software Bill of Materials): OSS-Entwickler sind nicht verpflichtet, eine SBOM bereitzustellen. Dadurch sinkt die Transparenz über die Abhängigkeiten der Software, und das Risiko von Schwachstellen steigt.
2. Uneinheitliches Update-Management: Viele OSS-Bibliotheken werden mit begrenzten Ressourcen gepflegt, wodurch Sicherheitsupdates unregelmäßig erscheinen.
3. Soziale und technische Angriffe: Fälle wie XZ Utils zeigen, wie böswillige Akteure mithilfe von Social-Engineering-Techniken in OSS-Projekte eindringen können.
4. Einflussnahme ausländischer Akteure: Feindlich gesinnte Organisationen und Staaten nutzen das OSS-Ökosystem, um Schadcode einzuschleusen (z. B. der Polyfill-Vorfall).
5. Risiko kritischer Schwachstellen: Ereignisse wie Log4j, Heartbleed und Shellshock verdeutlichen die Unvorhersehbarkeit und die möglichen Auswirkungen großflächiger Schwachstellen.

KI und OSS: neue Sicherheitsherausforderungen

Künstliche Intelligenz (KI) wird 2025 voraussichtlich der große Störfaktor in der Cybersecurity sein. Der zunehmende Einsatz KI-basierter Tools zur Codegenerierung, wie ChatGPT, setzt Unternehmen neuen Risiken aus:

• "AI Package Hallucination": Böswillige Akteure können KI-Modelle dazu verleiten, nicht existierende Pakete vorzuschlagen, und anschließend kompromittierte Versionen in OSS-Registries wie npm oder PyPI veröffentlichen.
• Durch KI eingeführte Schwachstellen: Die KI-basierte Codesynthese kann unbeabsichtigt Sicherheitslücken erzeugen.
• OSS-KI-Modelle: Open-Source-KI-Modelle, die von Plattformen wie Hugging Face heruntergeladen werden können, bergen ähnliche Risiken wie herkömmliche OSS-Bibliotheken.

Maßnahmen zum Schutz der OSS-Supply-Chain

1. SBOMs: Obwohl sie von der US-Regierung mit der Executive Order EO14028 gefördert werden, ist ihre Verbreitung noch begrenzt. Tools wie npm sbom . (ein Befehl, der eine Software Bill of Materials, SBOM, erzeugt) vereinfachen die Verwaltung von Abhängigkeiten, doch bleibt abzuwarten, ob Unternehmen sie in großem Umfang einsetzen werden.
2. AI BOMs: Die Branche arbeitet an der Entwicklung spezifischer SBOMs für KI-Modelle, wie ML-BOMs, um Datensätze, Algorithmen und Abhängigkeiten zu überwachen.
3. Tea Protocol: Ein neues Blockchain-basiertes Framework soll die Nachhaltigkeit und Sicherheit von OSS verbessern, indem es Entwickler belohnt und die Meldung von Schwachstellen fördert. Es bestehen jedoch Bedenken hinsichtlich Missbrauch und DoS-Angriffen auf OSS-Registries.

Regulierung und Zukunft der OSS-Sicherheit

2025 wird die Regulierung der Sicherheit der Software-Supply-Chain zunehmen, mit Vorschriften wie NIS2, DORA und ECRA in Europa sowie US-amerikanischen Initiativen wie CISA Secure by Design. Reaktive Regulierungen könnten jedoch die Kosten erhöhen und Unternehmen dazu bewegen, die Unterstützung für reine OSS zu reduzieren, was Alternativen mit geschlossenem Quellcode oder hybriden Lizenzen begünstigt.

Fazit

OSS wird 2025 weiterhin ein Risiko für die Software-Supply-Chain darstellen. SBOMs, Vorschriften und neue Technologien liefern zwar Instrumente zur Abwehr, doch keine Lösung garantiert vollständige Sicherheit. Unternehmen müssen sich auf eine sich wandelnde Bedrohungslage vorbereiten, indem sie die Governance für OSS stärken und proaktive Strategien zur Risikominderung einführen.

Quelle: SecurityWeek.com