Wer bezahlt Reparaturen an Open-Source-Software?
Zusammenfassung
Die Lücke Log4Shell in der Java-Bibliothek Log4j bedrohte im Dezember 2021 Banken, Technologiefirmen, Behörden und fast jede andere Organisation. Slashdot stellte die Frage, wer eigentlich dafür bezahlt, solche Open-Source-Infrastruktur zu reparieren. Gemeldet hatte die Lücke ein Ingenieur von Alibaba, beheben mussten sie unbezahlte Freiwillige.
Was ist Log4j und warum war die Lücke so schwer?
Log4j ist eine Bibliothek, mit der Java-Programme Protokolle schreiben. Sie steckt in unzähligen Anwendungen, oft tief in Abhängigkeiten, von denen die Betreiber nichts wissen. Die Lücke CVE-2021-44228 erlaubte es, über eine präparierte Zeichenkette in einer Protokollzeile Code aus dem Internet nachzuladen und auszuführen. Ein Benutzername oder ein Chat-Text genügte als Einfallstor.
Weltweit mussten Firmen innerhalb weniger Tage herausfinden, wo Log4j überhaupt eingesetzt wurde. Genau das war für viele das größte Problem.
Die eigentliche Frage
Die Debatte drehte sich weniger um Technik als um Geld und Verantwortung. Ein Autor auf Dev.to beschrieb Maintainer als unbezahlte Auslagerungsteams großer Konzerne. Andrew Ducker warnte, dass das Internet von Software abhängt, die Menschen in ihrer Freizeit pflegen. Filippo Valsorda vom Go-Team bei Google forderte, Maintainer zu einem richtigen Beruf mit Ausbildung und Karriereweg zu machen; Spenden über GitHub Sponsors oder Patreon seien dafür keine ernsthafte Grundlage.
Was daraus wurde
Log4Shell wurde zum Auslöser für mehr Aufmerksamkeit für die Software-Lieferkette. Stücklisten für Software, kurz SBOM, verbreiteten sich, damit Betreiber schneller wissen, welche Komponenten sie einsetzen. Deutschland gründete 2022 den Sovereign Tech Fund, der gezielt die Pflege offener Basissoftware finanziert, und die Open Source Security Foundation bekam zusätzliche Mittel von großen Firmen.
Ideen
- Eine einzelne Bibliothek kann über Abhängigkeiten in Tausenden Anwendungen stecken.
- Softwarestücklisten zeigen, welche Komponenten in einem Produkt enthalten sind.
- Maintainer offener Basissoftware sollten wie ein Beruf bezahlt werden.
Einsichten
- Wer offene Software kommerziell nutzt, profitiert von unbezahlter Arbeit und trägt Mitverantwortung.
- Im Notfall ist nicht das Patchen das Schwierigste, sondern herauszufinden, wo die Komponente überall steckt.
- Spenden allein sind keine verlässliche Finanzierung für kritische Infrastruktur.
Fakten
- Die Lücke trägt die Kennung CVE-2021-44228 und wurde im Dezember 2021 bekannt.
- Gemeldet wurde sie von einem Ingenieur von Alibaba.
- Deutschland gründete 2022 den Sovereign Tech Fund.
Referenzen
Bemerkungen
- Der Sovereign Tech Fund ist heute Teil der Sovereign Tech Agency und hat unter anderem Arbeiten an zentralen Open-Source-Projekten finanziert.
Empfehlungen
- Führe eine Softwarestückliste für eigene Anwendungen, damit du bei der nächsten Lücke schnell reagieren kannst.
- Unterstütze die Open-Source-Projekte, auf die dein Betrieb angewiesen ist, mit Geld oder Arbeitszeit.
Links zur Originalquelle und zum Webarchiv öffnen einen neuen Tab.