Das Ringen um Sicherheit Open-Source- oder proprietäre Software?

Welche Auswirkungen auf die Sicherheit hat Transparenz von Quellcode bei Open Source im Vergleich zur proprietären Software? Kann man Open Source überhaupt noch vertrauen? Oder ist der vermeintliche Nachteil vielmehr ein Vorteil?

E-Book zum Thema

Das eBook „Open-Source-Tools“ befasst sich damit, welche Vorteile und Herausforderungen mit quelloffenen Werkzeugen und Komponenten einhergehen.

eBook herunterladen

Der Konflikt zwischen Open-Source- und proprietärer Software schwelt schon seit Langem. Probleme und Bedenken werden von beiden Seiten untersucht und hinterfragt. In der letzten Zeit haben sich beide Lager insbesondere mit der Frage der Sicherheit auseinandergesetzt. Und gerade in dieser Hinsicht etablierten sich vor allem zwei Mythen:

Mythos 1: Einsichtnahme in Quellcode birgt Gefahren

Oftmals wird argumentiert, dass durch die Einsichtnahme des Codes es Hackern zu leicht gemacht wird, Schwachstellen auszunutzen. Allerdings bedeutet diese Offenheit auch eine weltweite Zusammenarbeit und Pflege durch Tausende von Entwicklerinnen und Entwicklern. Für den normalen Enduser sind diese Leistungen oftmals kostenlos. Eine proprietäre Software hingegen wird oft nur von einem Team eines einzigen Unternehmens gegen Lizenzgebühren entwickelt und gepflegt.

Mythos 2: Proprietäre Software ist sicher

Obwohl Schutzmaßnahmen wie Antiviren-Programme und Patches in der Praxis zuhauf zum Einsatz kommen, um Bedrohungen und Schwachstellen zu reduzieren, ist proprietäre Software vielfach ein beliebtes Ziel von Hacker-Angriffen. Dabei kommt es beispielsweise meist zu Beschädigungen des Datenbestands, Unterbrechung der Services und des Geschäftsbetriebs sowie Diebstahl von Geld und geschützten Informationen.

Echte Transparenz durch Open Source

Obwohl Open Source möglicherweise von Natur aus unsicherer ist als die Alternative von Closed Source, gibt es jedoch einige Gründe zu nennen, warum dies trotzdem der Fall sein kann. Denn Open Source hat wiederholt bewiesen, dass der Netzwerkeffekt vieler Blicke auf den Quellcode Schwachstellen schneller aufdeckt und für deutlich schnellere Behebungszyklen sorgt.

Natürlich ist es zu einfach, den Gesamtzustand der Open-Source-Sicherheit zu beeinträchtigen, wenn eine große Sicherheitslücke klafft. Tatsächlich zeigen aber viele dieser Schwachstellen mit dem höchsten Bekanntheitsgrad die Leistungsfähigkeit der Open-Source-Sicherheit. Die Ergebnisse sprechen für sich: Rund 90 Prozent der bekannten kompromittierten Schwachstellen finden sich in proprietärer Software, obwohl über 90 Prozent der gesamten Software Open Source sind.

Das Beispiel „Log4shell“ zeigte einen Worst-Case für eine OSS-Schwachstelle in Bezug auf Ausmaß und Sichtbarkeit auf. Wobei es sich hier um eine der am weitesten verbreiteten Bibliotheken in einer ebenfalls sehr gebräuchlichen Sprache handelte. Diese Schwachstelle war daher sehr einfach auszunutzen und die Folgen waren dementsprechend schwerwiegend.

Jedoch konnte sie innerhalb weniger Tage gepatcht werden. Insgesamt war dies ein großer Erfolg für die Open-Source-Community – und kein Misserfolg! Im Vergleich dazu dauern die Offenlegungs- und Reparaturzeiten der Anbieter proprietärer Software im besten Fall zwischen 30 und 60 oder nicht selten sogar 90 Tage.

Aktuell (Stand 2024) sorgt eine weitere Open-Source-Schwachstelle für Aufsehen: Bestimmte Upstream-Versionen der in Linux-Distributionen weit verbreiteten XZ Utils, auch unter liblzma geführt, öffneten eine Backdoor, die sich über OpenSSH ausnutzen ließ. Der entsprechende Schadcode wurde über einen der Haupt-Verantwortlichen in das Projekt eingepflegt – ob versehentlich durch eine eigene Infektion oder absichtlich, ist bislang nicht bekannt. Zwar waren vornehmlich nur Unstable-Versionen bestimmter Distributionen betroffen, doch diese mussten von Grund auf neu gebaut werden – und die User dieser Versionen mussten zusätzlich tätig werden, um sensible Informationen wieder abzusichern.

Unterschiedliche Bedrohungen

Open Source und proprietärer Code sind unterschiedlichen primären Bedrohungen ausgesetzt. Das Horror-Szenario der vergangenen Jahre war das der Zero-Day-Schwachstellen. Diese sind deshalb gefürchtet, weil sie noch unbekannt sind und Organisationen sich daher nicht dagegen wehren können.

Das gilt insbesondere für proprietären Anwendungen, weil Zero-Day-Angriffe meist sehr spezifische Effekte nach sich ziehen, und daher die Erkennung und Nutzung eines einzelnen Zero-Days in der Anwendung einer Organisation nicht besonders skalierbar ist. Wenn es um Open Source geht, sind Zero-Day-Schwachstellen im Allgemeinen eher unterrepräsentiert.

Dagegen lieben Hacker bekannte Schwachstellen und betrachten sie für sich quasi als „free lunch“. Denn nur ein kleiner Bummel im Internet verrät ihnen, welche Komponenten anfällig sind und wie der Angriff durchgeführt werden kann. Natürlich wissen Hacker auch, dass es immer Nachzügler geben wird, die nicht über die Schwachstellen von Open Source auf dem Laufenden sind, selbst wenn einige schnell zu beheben sind.

Unternehmen sollten nie vergessen, dass diese Informationen zu Schwachstellen sehr leicht verfügbar sind – unabhängig von Open-Source- oder proprietärer Software.

Offenheit als großer Vorteil

E-Book zum Thema

Das eBook „Open-Source-Tools“ befasst sich damit, welche Vorteile und Herausforderungen mit quelloffenen Werkzeugen und Komponenten einhergehen.

eBook herunterladen

Open Source wird in Repositories wie beispielsweise GitHub zur allgemeinen Nutzung veröffentlicht und legt seinen Quellcode offen, damit jeder ihn sehen und untersuchen kann. Das geschieht unabhängig davon, ob es etwas Aktuelles dazu gibt oder nicht. Auch wenn manche dies als Schwäche ansehen mögen, ist es wohl eine der größten Stärken von Open Source, da es den Mitgliedern der Community ermöglicht, Code zu überprüfen und Schwachstellen zu finden.

Denn je mehr Augen draufsehen, desto größer ist die Chance, dass Schwachstellen gefunden werden. Diese Behauptung wird durch Statistiken gestützt, aus denen hervorgeht, dass die gemeldeten Open-Source-Schwachstellen um rund 50 Prozent zugenommen haben.

Solche Informationen werden dann dem Projektinhaber gemeldet und landen entweder in großen Datenbanken der IT-Security wie der National Vulnerability Database (NVD) oder in einer Vielzahl von Issue-Trackern und Sicherheitshinweisen, wodurch sie zu einer sogenannten bekannten Schwachstelle werden. Die Idee dahinter ist, Informationen über Schwachstellen so schnell wie möglich zusammen mit einem Fix der Öffentlichkeit zugänglich zu machen.

Kaschierte Schwachstellen

Im Gegensatz dazu hängt die Sicherheit proprietärer Software stärker davon ab, dass ihre Schwachstellen unbekannt bleiben, um den neugierigen Blicken von Hackern zu entgehen, die es möglicherweise speziell auf sie abgesehen haben. Sich von Open Source fernzuhalten hat daher seine Vor- und Nachteile.

Der Vorteil besteht darin, dass die Wahrscheinlichkeit ziemlich hoch ist, dass Schwachstellen in einem Code für proprietäre Software unbekannt bleiben. Um diese Schwachstellen zu finden und auszunutzen, müsste sich ein Hacker die Zeit nehmen, ein Produkt gezielt ins Visier zu nehmen. Wenn so ein Produkt jedoch über Daten verfügt, die es wert sind, gestohlen oder anderweitig manipuliert zu werden, kann es sein, dass jemand zu dem Schluss kommt, dass es sich lohnt, nach Schwachstellen zu suchen.

Die Sicherheit proprietärer Software im Vergleich zu Open-Source-Sicherheit ist im Grunde eine Frage der Skalierung. Durch die Anonymität wird die Gefährdung möglicherweise geringer, aber sie werden andererseits auch nicht von den vielen Blicken der Entwickler profitieren.

Fazit

Open Source funktioniert anders und diffuser als proprietäre Software. Die Community von Open Source ist bei der Entwicklung von Korrekturen für Schwachstellen mittlerweile sehr effizient geworden. Jedoch liegt es immer noch an den Usern, ihre Software mit den neuesten Versionen, die neu entdeckte Schwachstellen behoben haben, auf dem neuesten Stand zu halten.

E-Book zum Thema

Open-Source-Tools

Open Source hat sich auf breiter Front durchgesetzt – die tragende Säule vieler Software-Ökosysteme ist quelloffen. Dies schafft zwar eine beachtliche Flexibilisierung und verbessert die Planungssicherheit, wirft jedoch gleichzeitig neue Herausforderungen auf, die keineswegs unterschätzt werden dürfen.

Dieses eBook umfasst die folgenden Themen:

• Trends und Neuerungen bei Open Source Tools
• Mit quelloffenen Tools coden, kompilieren, debuggen
• DevOps-Integrationen und Pipeline-Automatisierung

eBook „Open-Source-Tools“ herunterladen

(ID:49984514)