Ameaças à cadeia de abastecimento de software de código aberto (OSS) e perspetivas para 2025

O OSS como vetor de ataque

O software de código aberto (OSS) tornou-se um vetor de ameaça significativo na última década, devido à sua ampla difusão e à ausência de um modelo de responsabilidade partilhada. Com mais de 5 milhões de pacotes OSS disponíveis, cerca de 90% do código moderno utiliza-os, representando até 80% da base de código de muitas empresas. No entanto, a falta de governação e de transparência torna-o um alvo ideal para ataques à cadeia de abastecimento de software (supply chain).

Os ataques à cadeia de abastecimento de software (supply chain) aumentaram 431% desde 2021 e continuarão a representar um risco elevado em 2025. Uma vez que o cibercrime é um negócio baseado no retorno do esforço, comprometer um único pacote OSS pode conduzir a múltiplas violações, afetando muitas empresas em simultâneo.

Ameaças específicas para a cadeia de abastecimento de software (supply chain) OSS

1. Falta de SBOM (Software Bill of Materials): os programadores de OSS não são obrigados a fornecer um SBOM, o que reduz a visibilidade sobre as dependências do software e aumenta o risco de vulnerabilidades.
2. Gestão não uniforme das atualizações: muitas bibliotecas OSS são mantidas com recursos limitados, tornando irregulares as atualizações de segurança.
3. Ataques sociais e técnicos: casos como o XZ Utils demonstram como os agentes maliciosos podem infiltrar-se em projetos OSS através de técnicas de engenharia social.
4. Interferências de entidades estrangeiras: organizações e estados hostis exploram o ecossistema OSS para introduzir código malicioso (p. ex., o incidente Polyfill).
5. Risco de vulnerabilidades críticas: eventos como Log4j, Heartbleed e Shellshock evidenciam a imprevisibilidade e o impacto potencial de vulnerabilidades em grande escala.

IA e OSS: novos desafios de segurança

A inteligência artificial (IA) está destinada a ser o grande fator de perturbação na cibersegurança em 2025. A utilização crescente de ferramentas de geração de código baseadas em IA, como o ChatGPT, expõe as empresas a novos riscos:

• "AI Package Hallucination": os agentes maliciosos podem induzir os modelos de IA a sugerir pacotes inexistentes e, em seguida, publicar versões comprometidas em registos OSS como o npm ou o PyPI.
• Vulnerabilidades introduzidas pela IA: a síntese de código baseada em IA pode gerar involuntariamente falhas de segurança.
• Modelos de IA OSS: os modelos de IA de código aberto que podem ser descarregados de plataformas como o Hugging Face apresentam riscos semelhantes aos das bibliotecas OSS tradicionais.

Tentativas de defesa da cadeia de abastecimento de software (supply chain) OSS

1. SBOMs: embora promovidos pelo governo dos EUA através da ordem executiva EO14028, a sua adoção ainda é limitada. Ferramentas como npm sbom . (comando que gera um Software Bill of Materials, SBOM) simplificam a gestão das dependências, mas resta saber se as empresas as utilizarão em grande escala.
2. AI BOMs: o setor está a trabalhar no desenvolvimento de SBOM específicos para modelos de IA, como os ML-BOMs, para monitorizar conjuntos de dados, algoritmos e dependências.
3. Tea Protocol: uma nova framework baseada em blockchain procura melhorar a sustentabilidade e a segurança do OSS, recompensando os programadores e incentivando a comunicação de vulnerabilidades. No entanto, existem preocupações relativamente a abusos e a ataques DoS nos registos OSS.

Regulamentações e futuro da segurança do OSS

Em 2025, assistir-se-á a um aumento da regulamentação sobre a segurança da cadeia de abastecimento de software, com normativos como a NIS2, o DORA e o ECRA na Europa e iniciativas norte-americanas como o CISA Secure by Design. No entanto, regulamentações reativas poderão aumentar os custos e levar as empresas a reduzir o apoio ao OSS puro, favorecendo alternativas de código fechado ou com licenças híbridas.

Conclusão

O OSS continuará a representar um risco para a cadeia de abastecimento de software em 2025. Embora os SBOMs, os regulamentos e as novas tecnologias forneçam ferramentas de defesa, nenhuma solução garante segurança total. As empresas devem preparar-se para um panorama de ameaças em evolução, reforçando a governação do OSS e adotando estratégias de mitigação proativas.

Fonte: SecurityWeek.com