Amenazas a la cadena de suministro del software de código abierto (OSS) y perspectivas para 2025

El OSS como vector de ataque

El software de código abierto (OSS) se ha convertido en un vector de amenaza significativo durante la última década, debido a su amplia difusión y a la ausencia de un modelo de responsabilidad compartida. Con más de 5 millones de paquetes OSS disponibles, aproximadamente el 90 % del código moderno los utiliza, y llegan a representar hasta el 80 % de la base de código de muchas empresas. Sin embargo, la falta de gobernanza y transparencia lo convierte en un objetivo ideal para los ataques a la cadena de suministro.

Los ataques a la cadena de suministro han aumentado un 431 % desde 2021 y seguirán representando un riesgo elevado en 2025. Dado que el cibercrimen es un negocio basado en el retorno del esfuerzo, comprometer un único paquete OSS puede dar lugar a múltiples brechas de seguridad y afectar a muchas empresas al mismo tiempo.

Amenazas específicas para la cadena de suministro del OSS

1. Falta de SBOM (Software Bill of Materials): los desarrolladores de OSS no están obligados a proporcionar un SBOM, lo que reduce la visibilidad sobre las dependencias del software y aumenta el riesgo de vulnerabilidades.
2. Gestión no uniforme de las actualizaciones: muchas bibliotecas OSS se mantienen con recursos limitados, lo que hace que las actualizaciones de seguridad sean irregulares.
3. Ataques sociales y técnicos: casos como XZ Utils demuestran cómo los actores maliciosos pueden infiltrarse en proyectos OSS mediante técnicas de ingeniería social.
4. Interferencias de entidades extranjeras: organizaciones y estados hostiles aprovechan el ecosistema OSS para introducir código malicioso (p. ej., el incidente de Polyfill).
5. Riesgo de vulnerabilidades críticas: eventos como Log4j, Heartbleed y Shellshock ponen de manifiesto la imprevisibilidad y el posible impacto de las vulnerabilidades a gran escala.

IA y OSS: nuevos retos de seguridad

La inteligencia artificial (IA) está llamada a ser el gran factor disruptivo en la ciberseguridad de 2025. El uso creciente de herramientas de generación de código basadas en IA, como ChatGPT, expone a las empresas a nuevos riesgos:

• "AI Package Hallucination": los actores maliciosos pueden inducir a los modelos de IA a sugerir paquetes inexistentes y, a continuación, publicar versiones comprometidas en registros OSS como npm o PyPI.
• Vulnerabilidades introducidas por la IA: la síntesis de código basada en IA puede generar involuntariamente fallos de seguridad.
• Modelos de IA OSS: los modelos de IA de código abierto que se pueden descargar desde plataformas como Hugging Face presentan riesgos similares a los de las bibliotecas OSS tradicionales.

Intentos de defensa de la cadena de suministro del OSS

1. SBOM: aunque los ha impulsado el Gobierno de EE. UU. con la orden ejecutiva EO14028, su adopción sigue siendo limitada. Herramientas como npm sbom . (comando que genera un Software Bill of Materials, SBOM) simplifican la gestión de las dependencias, pero está por ver si las empresas las utilizarán a gran escala.
2. AI BOM: el sector está trabajando para desarrollar SBOM específicos para modelos de IA, como los ML-BOM, con el fin de supervisar conjuntos de datos, algoritmos y dependencias.
3. Tea Protocol: un nuevo marco basado en blockchain que pretende mejorar la sostenibilidad y la seguridad del OSS, recompensando a los desarrolladores e incentivando la notificación de vulnerabilidades. Sin embargo, existen preocupaciones en cuanto a abusos y ataques DoS en los registros OSS.

Regulación y futuro de la seguridad del OSS

En 2025 aumentará la regulación sobre la seguridad de la cadena de suministro del software, con normativas como NIS2, DORA y ECRA en Europa e iniciativas estadounidenses como CISA Secure by Design. Sin embargo, una regulación reactiva podría aumentar los costes y llevar a las empresas a reducir el apoyo al OSS puro, favoreciendo alternativas de código cerrado o con licencias híbridas.

Conclusión

El OSS seguirá representando un riesgo para la cadena de suministro del software en 2025. Aunque los SBOM, las normativas y las nuevas tecnologías proporcionan herramientas de defensa, ninguna solución garantiza una seguridad total. Las empresas deben prepararse para un panorama de amenazas en constante evolución, reforzando la gobernanza del OSS y adoptando estrategias de mitigación proactivas.

Fuente: SecurityWeek.com