OSS Rebuild: Google will Kriminelle aus Open-Source-Codes werfen

Die Google-Mutter Alphabet will endlich unterbinden, dass Kriminelle sich über Open-Source-Komponenten in wichtige Software-Projekte einnisten. Die neue Initiative "OSS Rebuild" soll dem einen Riegel vorschieben.

Reproduzierbare Builds

Das neue Projekt soll die Sicherheit und Integrität von Open-Source-Software verbessern. Ziel ist es, durch sogenannte reproduzierbare Builds - also exakt nachvollziehbare und identische Softwarekompilierungen - Manipulationen frühzeitig zu erkennen und zu verhindern.

Im Zentrum steht dabei die Idee, den Open-Source-Sektor langfristig widerstandsfähiger und vertrauenswürdiger zu machen. Hintergrund ist die wachsende Bedrohung durch Angriffe auf Software-Lieferketten, wie zuletzt etwa beim SolarWinds-Hack oder der Backdoor in der XZ Utils-Bibliothek.


Technisch setzt OSS Rebuild auf automatisierte Infrastruktur, um populäre Open-Source-Projekte neu zu kompilieren und auf Integrität zu prüfen. Diese Methode erlaubt es Entwicklern, unabhängig zu verifizieren, ob eine Software unverändert und sicher ist. Bereits bestehende Werkzeuge wie OSS-Fuzz, das seit 2016 tausende Schwachstellen aufgedeckt hat, werden dabei integriert.

OSS Rebuild ist Teil von Googles größeren Engagement im Bereich Open-Source-Sicherheit, das mit der Gründung des Open-Source-Security-Teams im Jahr 2022 seinen Anfang nahm. Mittlerweile setzt der Konzern auch auf KI-basierte Automatisierung, um den Prüfprozess über tausende Code-Repositorien hinweg zu skalieren.

Nicht alles Gold

Kritik bleibt jedoch nicht aus: Einige Fachleute warnen vor einer möglichen Abhängigkeit von Google als zentralem Anbieter. Plattformen wie LWN.net fordern daher auch dezentrale Lösungen, um neue Schwachstellen im Sicherheitsnetz zu vermeiden.

Angesichts der Tatsache, dass rund 70 Prozent der heutigen Software auf Open Source basiert, könnte OSS Rebuild allerdings einen wichtigen Impuls für die gesamte Branche setzen. Google unterstreicht mit dem Projekt seinen Anspruch, als Hüter des digitalen Gemeinguts zu agieren - und appelliert zugleich an die Community, sich stärker für verifizierbare Software einzusetzen.


Siehe auch: