Sicherheit bei der Open Source Programmierung…
… oder viele Köche verderben den Brei!
Cyberkriminelle scheinen in letzter Zeit auf den (Sieges)Zug der Open Source-Bewegung aufzuspringen. Sie nutzen die steigende Verbreitung der Freien Software für ihre Zwecke. Hierzu wird oft versucht bei populären Projekten in die Infrastruktur einzudringen um eine Backdoor, ein Schadprogramm oder ähnliches zu platzieren:
Einbruch linux.com
Einbruch kernel.org
Einbruch beim Debian-Projekt
Backdoor in proftp
Backdoor in vsftpd
Einbruch beim Fedora-Projekt
Einbruch in Ubuntu-Community-Server
Einbruch bei WordPress
In meiner Auswahl habe ich die prominenteren Beispiele aufgeführt, bis jetzt konnten wachsame Administratoren meist anhand von auffälligen Logdateien schnell den entstandenen Schaden begrenzen, sei es jetzt in wirtschaftlicher Hinsicht oder dem Vertrauensverlust in das Projekt. Dies setzt aber voraus, dass der Angreifer von außen kommt und sich mit „Gewalt“ Zutritt zu den Systemen schafft.
Es gibt ein Szenario, wo diese Sicherungsmechanismen aller Wahrscheinlichkeit nur geringfügig oder gar nicht greifen… Nämlich, wenn ein potentieller Angreifer sich das Vertrauen des Projekts erschleicht und über Jahre sauberen Code beisteuert und nachdem er sich das Vertrauen erarbeitet hat in einem günstigen Moment eine Backdoor oder ein Zusatzprogramm / -script platziert. Bis hier die Alarmsignale schrillen kann einige Zeit ins Land gehen und mitunter eine Großzahl von Distributionen bzw. Installationen verseucht sein.
Dieses Szenario ist rein hypothetischer Natur, es sollte nur als Denkanstoß dienen. Gibt es hierzu schon Sicherungsmechanismen? Prüfsummen dürften hier keine wirkliche Abhilfe schaffen oder?
Trompetenkaefer's Blog 