31.08.2023 •

BSI will Sicherheit von Open-Source-Software erhöhen

Im Rahmen eines Projektes zur Codeanalyse von Open Source Software hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) Videokonferenzsysteme und eID-Templates auf deren Sicherheitseigenschaften hin untersucht.

BSI will Sicherheit von Open-Source-Software erhöhen
Quelle: vege / Fotolia.com

In Kooperation mit der mgm security partners GmbH hatte das BSI das Projekt „Codeanalyse von Open Source Software“ (CAOS) 2021 gestartet. Aufgabe des Projekts ist die Schwachstellenanalyse mit dem Ziel, die Sicherheit von Open Source Software zu erhöhen. Das Projekt soll Entwicklerinnen und Entwickler bei der Erstellung sicherer Softwareanwendungen unterstützen und das Vertrauen in Open Source Software steigern. Der Fokus liegt auf Anwendungen, die vermehrt von Behörden oder Privatanwendern genutzt werden.

Cyber-Angriffe lassen sich in den meisten Fällen auf Fehler im Programmcode der betroffenen Anwendungen zurückführen. Das Projekt CAOS unterstützt dabei, häufige Schwachstellen und Risiken zu ermitteln und zu beseitigen. Das BSI überprüfte gemeinsam mit der mgm security partners GmbH den Quellcode der Videokonferenzsysteme BigBlueButton und Jitsi auf mögliche Mängel. Kritische Schwachstellen hat das BSI den betroffenen Entwicklern sofort mitgeteilt – diese konnten die gefundenen Sicherheitslücken schnell beheben. Weitere Mängel wurden im Rahmen eines Responsible-Disclosure-Verfahren adressiert. Bei den nun veröffentlichten Ergebnissen handelt es sich um eine Kombination aus Sourcecode Review, dynamischer Analyse und Schnittstellenanalyse in den Bereichen Netzwerkschnittstellen, Protokolle und Standards.

Damit Bürgerinnen und Bürger die Online-Funktion des Personalausweises nutzen können, müssen Diensteanbieter ihr Angebot in die Infrastruktur elektronischer Identitäten (eID) integrieren. eID-Templates sollen die Authentifizierung bei WordPress- oder Nextcloud-Installationen sicher gestalten und sind Teil der geplanten Einführung der „eID-Card“.

Um die Sicherheit von Open Source Software in Zukunft zu erhöhen, sind weitere Codeanalysen geplant. Das Projekt zur „Codeanalyse von Open Source Software“ wird unter dem Namen CAOS 2.0 fortgeführt. Die Ergebnisse werden nach einem Responsible-Disclosure-Verfahren ebenfalls auf der Webseite des BSI veröffentlicht. Das Verfahren gestattet Entwicklern eine angemessene Frist zur Behebung von Sicherheitslücken vor deren Veröffentlichung.

Mehr zu den Themen:

Verwandte Artikel

Cybersicherheit: Bedrohungslage bleibt angespannt, aber Resilienz gegen Angriffe steigt

Cybersicherheit: Bedrohungslage bleibt angespannt, aber Resilienz gegen Angriffe steigt

Die Sicherheitslage im Cyberraum ist weiterhin angespannt. Zugleich stellen sich Staat, Wirtschaft und Gesellschaft stärker als bisher auf die Bedrohungen ein und haben ihre Resilienz erhöht.

Unsichtbares Risiko – Firmware als potenzielle Schwachstelle beim Schutz betrieblicher Anlagen

Unsichtbares Risiko – Firmware als potenzielle Schwachstelle beim Schutz betrieblicher Anlagen

Das Spektrum der Angriffsvektoren ist breit und kann die Lieferkette, die physische Infrastruktur, technische Systemkomponenten, das Personal oder die IT-Systeme betreffen.

Polnischer Vizepremier Krzysztof Gawkowski besuchte das BSI

Polnischer Vizepremier Krzysztof Gawkowski besuchte das BSI

Der polnische Vize-Regierungschef und Digitalminister Dr. Krzysztof Gawkowski hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) am Standort Bonn besucht

:

Photo

Ein Netz für alle (Not-)Fälle

In Katastrophen und anderen Notsituationen kann die zügige und zuverlässige Warnung und die Einsatz-Koordination über Leben und Tod entscheiden. Dies setzt eine stabile Kommunikation voraus.