Open-Source-Software im IoT absichern: Software-Risiken mindern

Es gibt mittlerweile 7 Milliarden IoT-Geräte weltweit. CASTs Lev Lesokhin projiziert, dass die Zahl bis 2025 verdreifacht wird auf 21,5 Milliarden Geräte. Das rasante Wachstum hat Hersteller gedrängt, Produkte schneller denn je zu launchen – oft auf Kosten der Softwarequalität.

Um Time-to-Market zu beschleunigen, setzen viele Firmen auf fertige Pakete aus Open-Source-Communities wie GitHub und Apache. Doch wie CASTs Software Intelligence Report 2018 zeigt, verfehlt ein großer Anteil dieser Projekte Security-Compliance.

Open-Source-Code kommt selten mit robuster, eingebauter Sicherheit. Im Rush to Ship verzichten Unternehmen auf gründliche Security-Reviews, was jedes der sieben Milliarden Geräte für Angreifer verwundbar macht.

Im Gegensatz zu Enterprise-Grade-Transaktionssystemen stammt viel IoT-Firmware von Embedded-Software-Engineers, deren Fokus primär auf Funktionalität statt Datenschutz liegt. Dieser Mismatch bedeutet, dass viele Entwickler die spezialisierten Skills fehlen, um sensible Daten zu schützen.

Da jeder zu Open Source beitragen kann, ist es inhärent herausfordernd, sicherzustellen, dass Sicherheits- und Qualitätsstandards eingehalten werden. Ineffizienter, schlampiger oder sogar maliziöser Code kann unbemerkt durchschlüpfen.

Käufer erkennen diese Schwächen selten. Sie sehen IoT-Geräte als Tools für Business-Effizienz, nicht als potenzielle Vektoren, die gegen ihre Besitzer weaponisiert werden können.

Die Augen der Welt sind auf Ihrem Code

Proprietärer Inhouse-Code kann Fehler enthalten, aber typischerweise sehen nur die beauftragten Entwickler sie. Proprietärer Source ist privat und vor neugierigen Blicken geschützt. Im Gegensatz dazu ist Open Source öffentlich zugänglich – jeder, einschließlich potenzieller Angreifer, kann ihn prüfen, bevor er eingebunden wird.

2013 erlitt Target einen Kreditkarten-Breach mit 220 Mio. $ Kosten (ca. 194 Mio. €), nachdem Angreifer eine Schwachstelle im Klimakontrollsystem ausnutzten. Die Vendor-Credentials wurden gestohlen und bei Deployment unverändert gelassen, was jede installierte Einheit exponierte.

Prüfen Sie sich selbst, bevor Sie sich ruinieren

Während Schwachstellen nie vollständig eliminiert werden können, kann ihre Wahrscheinlichkeit durch drei Schlüsselschritte eingedämmt werden:

1. Verstehen Sie die Herkunft Ihrer Software. Hersteller müssen genau wissen, welchen Code sie ausliefern. Verantwortungsvoll genutzt, kann Open Source unschätzbar wertvoll sein, aber seine Provenienz sollte zur Quelle zurückverfolgt und gegen bekannte Vulnerabilities geprüft werden.

2. Planen Sie ausreichend Zeit für Sicherheit ein. Post-Manufacturing-Fixes sind kostspielig und oft ineffektiv. Der Target-Vorfall illustriert, wie einfach es für Angreifer ist, verbleibende Fehler auszunutzen, sobald ein Gerät im Feld ist.

3. Führen Sie End-to-End-Analyse durch. Scannen Sie den gesamten Codebase, adressieren Sie hervorgehobene Schwächen umgehend und eliminieren Sie Technical Debt. Ziel ist ein resilientes System, das Endnutzer jahrelang schützt.

Letztlich bleibt Targets Klimakontroll-Vendor unter Untersuchung, mit laufenden Kosten um 18,5 Mio. $ (ca. 16,3 Mio. €). Ein so kostspieliger Übersehensfehler kann – und sollte – vermieden werden.

Autor dieses Blogs ist Lev Lesokhin, EVP of Strategy & Analytics bei CAST.