Nach Log4J: Google will zusammen mit Regierungen Open Source absichern

Seit langem sucht Google nach Wegen, Open-Source-Software besser abzusichern. Nach der Log4J-Lücke kommen nun auch Regierungen ins Spiel.

Artikel veröffentlicht am ,
Google will eine Zusammenarbeit mit der Politik, um Software besser abzusichern.
Google will eine Zusammenarbeit mit der Politik, um Software besser abzusichern. (Bild: Hannah McKay/File Photo/Reuters)

In einem eher ungewöhnlichen Schritt fordert der IT-Konzern Google die US-Regierung dazu auf, eine aktivere Rolle bei der Absicherung von Open-Source-Software einzunehmen. Das schreibt Kent Walker, President of Global Affairs und Chief Legal Officer bei Google und Alphabet, im Blog des Unternehmens. Vorausgegangen ist dem offenbar eine Art Sicherheitskonferenz mit der US-Regierung im Weißen Haus als Reaktion auf die gravierende Log4J-Lücke, die Ende vergangenen Jahres entdeckt worden ist.

Stellenmarkt
  1. Softwareentwickler Vertriebsumfeld (m/w/d)
    ERGO Direkt AG, Nürnberg
  2. Requirements Engineer Solvency II (m/w/d)
    ITERGO Informationstechnologie GmbH, Düsseldorf, Hamburg
Detailsuche

Walker schreibt dazu: "Zu lange hat sich die Software-Community mit der Annahme getröstet, dass Open-Source-Software aufgrund ihrer Transparenz im Allgemeinen sicher ist, und der Annahme, dass 'viele Augen' darauf schauen, um Probleme zu erkennen und zu lösen. Aber während einige Projekte viele auf sie gerichtete Augen haben, haben andere wenige oder gar keine." So zeigte sich nun eben auch bei Log4J, dass der Code zwar weltweit in unzähligen Projekten Einsatz findet, aber nur von einigen wenigen Entwickler in ihrer Freizeit gepflegt wird.

Diese Erkenntnis dürfte für Google nichts Neues sein. Immerhin arbeitet das Unternehmen schon länger an verschiedenen Initiativen, um das Open-Source-Ökosystem besser abzusichern. So ist der Konzern etwa ein Gründungsmitglied der Open Source Security Foundation (OpenSSF), die eine einheitliche und vor allem koordinierte Security-Praxis anstrebt. Im Rahmen dieser Arbeiten hat Google etwa bereits kritische Open-Source-Projekte identifiziert.

Marktplatz für Pflege

Genau in dieser Richtung will Google nun bestenfalls auch mit Regierungen zusammenarbeiten. "Wir brauchen eine öffentlich-private Partnerschaft, um eine Liste kritischer Open-Source-Projekte zu erstellen - wobei die Kritikalität auf der Grundlage des Einflusses und der Bedeutung eines Projekts bestimmt wird - um bei der Priorisierung und Zuweisung von Ressourcen für die wichtigsten Sicherheitsbewertungen und -verbesserungen zu helfen."

Hacking & Security: Das umfassende Handbuch. 2. aktualisierte Auflage des IT-Standardwerks (Deutsch) Gebundene Ausgabe
Golem Akademie
  1. PowerShell Praxisworkshop: virtueller Vier-Tage-Workshop
    20.–23. Dezember 2021, virtuell
  2. Einführung in die Programmierung mit Rust: virtueller Fünf-Halbtage-Workshop
    21.–25. März 2022, Virtuell
Weitere IT-Trainings

Der Konzern hat auch schon klare Pläne, wie mit diesen Erkenntnissen letztlich umgegangen werden soll. Mit Bezug auf das Treffen im Weißen Haus heißt es: "Wir schlugen vor, eine Organisation zu gründen, die als Marktplatz für Open-Source-Pflege dient und Freiwillige aus Unternehmen mit den kritischen Projekten zusammenbringt, die am dringendsten Unterstützung benötigen. Google ist bereit, Ressourcen zu diesen Bemühungen beizutragen."

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Bolzkopf 16. Jan 2022 / Themenstart

"Wir schlugen vor, eine Organisation zu gründen, die als Marktplatz für Open-Source...

Bolzkopf 16. Jan 2022 / Themenstart

"Zu lange hat sich die Software-Community mit der Annahme getröstet... " Aha. Die...

ACakut 15. Jan 2022 / Themenstart

Klar, kann im Einzelnen ein Problem sein, ist aber lösbar. Es gibt ja inzwischen dutzende...

Steffo 14. Jan 2022 / Themenstart

Regierungen sind rein quantitativ öfters Opfer als Täter von Cyberangriffen.

Magdalis 14. Jan 2022 / Themenstart

Log4j wird unter dem Schirm der Apache Software Foundation entwickelt. Im letzten...

Kommentieren



Aktuell auf der Startseite von Golem.de
Einführung in MQTT
Alles läuft über den Broker

MQTT eignet sich hervorragend für Sensoren und IoT-Anwendungen. Wir geben eine Einführung in das Protokoll für Machine-to-Machine-Kommunikation.
Von Florian Bottke

Einführung in MQTT: Alles läuft über den Broker
Artikel
  1. Javascript: Community startet Fork für sabotiertes NPM-Paket
    Javascript
    Community startet Fork für sabotiertes NPM-Paket

    Eines der sabotierten NPM-Pakete wird nun als Community-Fork weitergeführt. Fragen zum Umgang mit dem Javascript-Repository bleiben jedoch.

  2. Elektromobilität: Ladesäulen für BP bald profitabler als Tankstellen
    Elektromobilität
    Ladesäulen für BP bald profitabler als Tankstellen

    BP steht kurz davor, dass Schnellladestationen profitabler sind als Tankstellen. Das könnte zusätzliche Investitionen in Ladesäulen bringen.

  3. Bitcoin, Ethereum: Was steuerlich bei Kryptowährungen gilt
    Bitcoin, Ethereum
    Was steuerlich bei Kryptowährungen gilt

    Kryptowährungen wie Bitcoin sind unter Anlegern beliebt - doch wie muss man die Gewinne eigentlich versteuern?

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Bosch Professional zu Bestpreisen • WSV bei MediaMarkt • Asus Vivobook Flip 14" 8GB 512GB SSD 567€ • RX 6900 16GB 1.489€ • MindStar (u.a. WD Blue 3D 1TB 79€, be quiet! Straight Power 11 850W 119€ u. PowerColor RX 6600 Hellhound 529€) • Gainward RTX 3080 12GB 1.599€ [Werbung]
    •  /