Markt + Trends | Open Source | iX

Assured OSS: Google verspricht sichere Open-Source-Software

Über den neuen Service Assured Open Source Software liefert Google Pakete, die man ausgiebig getestet hat und auch im eigenen Entwicklungsprozess verwendet.

Google will die Sicherheit der Software Supply Chain mit einem neuen Dienst verbessern: Assured Open Source Software (Assured OSS) soll ab dem dritten Quartal 2022 in der Google-Cloud verfügbar sein. Der Service liefert auf Schwachstellen abgeklopfte OSS-Pakete und eignet sich vor allem für die Softwareentwicklung von Unternehmen und der öffentlichen Hand. Unter anderem Log4j hat deutlich gezeigt, wie verwundbar die Software Supply Chain ist. Hinzu kamen zuletzt weniger sicherheitskritische Entwickleraktionen (siehe ix.de/zkgg).

Assured OSS bietet dieselben Pakete, die Google intern für die Entwicklung verwendet. Google scannt und analysiert die Pakete zunächst. Dabei kommt neben dynamischer und statischer Codeanalyse auch Fuzzing zum Einsatz. Google hatte dafür 2016 das Tool OSS Fuzz vorgestellt. Es füttert die zu testenden Programme mit zufälligen Eingaben und deckt so potenzielle Angriffsflächen auf, die menschliche Tester übersehen. Mittels Fuzzing lassen sich beispielsweise Pufferüberläufe aufdecken, die durch unerwartete Eingaben entstehen.