Sicherheit und Konformität im Umgang mit Free and Open Source Software
Free and Open Source Software – Fluch oder Segen?
Um Zeit und Kosten zu senken, wird in der modernen Softwareentwicklung immer häufiger auf bestehende und frei verfügbare Komponenten (libraries) zurückgegriffen, die für die Entwicklung benötigte oder gewünschte Funktionen bereitstellen. Hierzu zählen auch libraries für Basisfunktionen wie die Datenspeicherung und Schnittstellenanbindung. In App-Entwicklungsprojekten kommen meist mindestens 15 unterschiedliche libraries zum Einsatz.
Mit fortschreitender Verbreitung der Free and Open Source Software (FOSS) entstehen aber auch immer wieder neue Herausforderungen. Mehrere aktuelle Studien zeigen die Gefahren dieses Trends auf:
Eingesetzte libraries
Jährlich steigt die durchschnittliche Anzahl eingesetzter libraries um über 20 %.Tage bis zum Exploit
Die durchschnittliche Zeit zwischen Bekanntwerden einer Schwachstelle und einem entsprechenden Exploit beträgt drei Tage.Schwachstellen
Jede achte eingesetzte Komponente weist dabei mind. eine kritische Schwachstelle auf.
Foss Compliance: Die Risiken kennen und bewerten
Die wohl größte Herausforderung für den Betreiber einer Applikation, die mithilfe von FOSS-Komponenten entwickelt wurde, ist die Sicherheit und die Einhaltung des Datenschutzes über die gesamte Lebensdauer der Anwendung permanent gewährleisten zu müssen. Das erfordert unter anderem die Überwachung und Minimierung der Risiken, die sich aus den Lizenzvereinbarungen der einzelnen Komponenten ergeben.
Die möglichen Folgen bei Sicherheits-, Datenschutz- und Lizenzverstößen sind vielfältig:
- Datenverlust
- Bußgelder (z. B. bei DSGVO-Verletzungen)
- Verlust der Nutzungsrechte und Unterlassungsansprüche
- Reputationsschäden
- Schadensersatzansprüche
- Copyleft und Patentleft
FOSS Compliance: Wir stellen die richtigen Fragen und unterstützen Sie!
Damit Sie als Herausgeber der App dieser Verantwortung gerecht werden können, unterstützen wir Sie bei der Umsetzung. Im Rahmen unseres dauerhaften „FOSS Compliance“-Monitorings nehmen wir eine Analyse und Auswertung der Herausforderungen vor und beantworten die wichtigsten Fragen:
- Gibt es neu erkannte Schwachstellen in den genutzten libraries?
- Liegen Updates vor und haben diese ggf. positive Auswirkungen?
- Kann die Schwachstelle ausgenutzt werden?
- Gibt es Änderungen hinsichtlich der Lizenzen, die Handlunsgbedarf mit sich bringen?
Für die bestmöglichen Ergebnisse setzten wir im Rahmen unseres Open-Source-Managements auf Mend, den führenden Anbieter von Software Composition Analysis.
