Zagrożenia dla łańcucha dostaw oprogramowania open source (OSS) i perspektywy na 2025 rok

OSS jako wektor ataku

Oprogramowanie open source (OSS) w ciągu ostatnich dziesięciu lat stało się istotnym wektorem zagrożeń ze względu na swoją powszechność oraz brak modelu współdzielonej odpowiedzialności. Dostępnych jest ponad 5 milionów pakietów OSS, a około 90% współczesnego kodu z nich korzysta — w wielu firmach stanowią one nawet 80% bazy kodu. Brak nadzoru (governance) i przejrzystości sprawia jednak, że OSS jest idealnym celem ataków na łańcuch dostaw (supply chain).

Liczba ataków na łańcuch dostaw wzrosła od 2021 roku o 431% i w 2025 roku nadal będą one stanowić wysokie ryzyko. Ponieważ cyberprzestępczość jest biznesem opartym na zwrocie z włożonego wysiłku, skompromitowanie pojedynczego pakietu OSS może prowadzić do wielu naruszeń, dotykając jednocześnie wiele firm.

Zagrożenia specyficzne dla łańcucha dostaw OSS

1. Brak SBOM (Software Bill of Materials): twórcy OSS nie mają obowiązku dostarczania SBOM, co ogranicza widoczność zależności oprogramowania i zwiększa ryzyko podatności.
2. Niejednolite zarządzanie aktualizacjami: wiele bibliotek OSS jest utrzymywanych przy ograniczonych zasobach, przez co aktualizacje zabezpieczeń są wydawane nieregularnie.
3. Ataki społeczne i techniczne: przypadki takie jak XZ Utils pokazują, że cyberprzestępcy mogą infiltrować projekty OSS za pomocą technik socjotechnicznych (social engineering).
4. Ingerencja podmiotów zagranicznych: wrogie organizacje i państwa wykorzystują ekosystem OSS do wprowadzania złośliwego kodu (np. incydent Polyfill).
5. Ryzyko krytycznych podatności: zdarzenia takie jak Log4j, Heartbleed i Shellshock pokazują nieprzewidywalność oraz potencjalny wpływ podatności na dużą skalę.

AI i OSS: nowe wyzwania w zakresie bezpieczeństwa

Sztuczna inteligencja (AI) ma być w 2025 roku czynnikiem, który najbardziej zaburzy krajobraz cyberbezpieczeństwa. Coraz częstsze korzystanie z narzędzi do generowania kodu opartych na AI, takich jak ChatGPT, naraża firmy na nowe ryzyka:

• „AI Package Hallucination”: cyberprzestępcy mogą nakłaniać modele AI do sugerowania nieistniejących pakietów, a następnie publikować skompromitowane wersje w rejestrach OSS, takich jak npm czy PyPI.
• Podatności wprowadzane przez AI: synteza kodu oparta na AI może nieumyślnie generować luki w zabezpieczeniach.
• Modele AI typu OSS: modele AI open source, które można pobrać z platform takich jak Hugging Face, wiążą się z podobnym ryzykiem jak tradycyjne biblioteki OSS.

Próby ochrony łańcucha dostaw OSS

1. SBOM: choć są promowane przez rząd USA w ramach rozporządzenia wykonawczego EO14028, ich wdrażanie jest nadal ograniczone. Narzędzia takie jak npm sbom . (polecenie generujące Software Bill of Materials, SBOM) upraszczają zarządzanie zależnościami, ale dopiero okaże się, czy firmy będą z nich korzystać na szeroką skalę.
2. AI BOM: branża pracuje nad opracowaniem SBOM dedykowanych modelom AI, takich jak ML-BOM, które umożliwiają monitorowanie zbiorów danych, algorytmów i zależności.
3. Tea Protocol: nowy framework oparty na blockchainie, którego celem jest poprawa trwałości i bezpieczeństwa OSS poprzez nagradzanie twórców oraz zachęcanie do zgłaszania podatności. Pojawiają się jednak obawy dotyczące nadużyć i ataków DoS w rejestrach OSS.

Regulacje i przyszłość bezpieczeństwa OSS

W 2025 roku nastąpi wzrost regulacji dotyczących bezpieczeństwa łańcucha dostaw oprogramowania, z przepisami takimi jak NIS2, DORA i ECRA w Europie oraz inicjatywami amerykańskimi, takimi jak CISA Secure by Design. Regulacje wprowadzane reaktywnie mogą jednak zwiększyć koszty i skłonić firmy do ograniczenia wsparcia dla czystego OSS, co sprzyjałoby rozwiązaniom o zamkniętym kodzie lub z licencjami hybrydowymi.

Podsumowanie

OSS nadal będzie stanowić ryzyko dla łańcucha dostaw oprogramowania w 2025 roku. Chociaż SBOM, regulacje i nowe technologie dostarczają narzędzi obrony, żadne rozwiązanie nie gwarantuje pełnego bezpieczeństwa. Firmy muszą przygotować się na zmieniający się krajobraz zagrożeń, wzmacniając nadzór nad OSS (governance) i przyjmując proaktywne strategie ograniczania ryzyka.

Źródło: SecurityWeek.com