Gastkommentar: Die Konsequenzen von Heartbleed für Open Source

Der "Heartbleed Bug" ist mehr als eine Sicherheitslücke zum Auslesen von Passwörtern. Der Medienrummel um den Bug hat auch das Vertrauen in Open-Source-Projekte erschüttert. [...]

Doch der Verzicht auf Open Source wäre falsch, der Rückschritt vorprogrammiert. Die IT-Branche sollte sich daher auf einige wichtige Fakten rund um Open Source Software konzentrieren:

• Open Source ist genau so wenig fehlerfrei wie andere Codes. Nach meiner Erfahrung kommt auf 10.000 Zeilen Code mindestens eine Schwachstelle. Führen Sie also eigene Kontrollen durch und wenden Sie gründliche Test- und Scan-Verfahren an. Stehen keine Testmöglichkeiten zur Verfügung, so richten Sie sich ein Verfahren ein, das Ihren Open Source Code vor Schäden absichert, bevor Sie ein neues Projekt starten.
• Wenn Sie Schwachstellen finden, sollten Sie diese mit der Öffentlichkeit teilen. Auf diese Weise bekommen Sie einerseits Feedback oder Hilfestellungen, andererseits schaffen Sie so ein Bewusstsein bei anderen. Machen sich die Nutzer gegenseitig auf Probleme aufmerksam und versuchen diese gemeinsam als Community zu lösen, wird Open Source auch weiterhin erfolgreich sein. Dies hilft zudem dabei, den Missbrauch von Schwachstellen durch Kriminelle zu vereiteln.
• Falls Sie es nicht selbst durchführen können, dann suchen Sie sich einen geeigneten Anbieter für Schwachstellen-Analysen. Nutzen Sie zudem Produkte für automatische Code-Scans, um häufige Fehler in der Codierung zu identifizieren und anschließend zu beheben – bevor Sie das Produkt in den Markt einführen. Stellen Sie zudem sicher, dass sie dabei sowohl statistische als auch dynamische Untersuchungsmethoden anwenden.
• Wenn es wirtschaftlich machbar ist, spenden Sie an das Projekt, dessen Open Source Sie einsetzen. Das unterstützt nicht nur die Entwickler sondern auch die Tester.

Open Source wird als gängiges Instrument der IT-Branche in absehbarer Zeit nicht einfach vom Markt verschwinden. Deshalb müssen wir als IT-Branche wachsam bleiben und die Codes, die wir für unsere Produkte und Services nutzen, konsequent testen und scannen. Nur so können wir die Zukunft der Branche sichern.

* Tony Anscombe ist Senior Security Evangelist bei AVG Technologies.