Die EU finanziert ab Januar im Rahmen des Projekts Free and Open Source Software Audit (FOSSA) ein Bug-Bounty-Programm für 15 Open-Source-Anwendungen. Sie will damit das Sicherheitsniveau für die von ihr genutzten Programme erhöhen, zu welchen auch populäre Programme, die von Privatanwendern häufig verwendet werden, zählen. Die Liste umfasst 7-Zip, Apache Kafka, Apache Tomcat, Digital Signature Services (DSS), Drupal, FileZilla, FLUX TL, die GNU C Library (glibc), KeePass, midPoint, Notepad++, PuTTY, das Symfony PHP Framework, VLC Media Player und WSO2.

Im Jahr 2015 genehmigten die EU-Behörden erstmals Mittel für FOSSA, nachdem Sicherheitsforscher ein Jahr zuvor schwere Schwachstellen in der OpenSSL-Bibliothek entdeckt hatten, einem Open-Source-Projekt, das von vielen Websites zur Unterstützung von HTTPS-Verbindungen genutzt wird.

„Das Problem hat viele Menschen erkennen lassen, wie wichtig Freie und Open Source Software für die Integrität und Zuverlässigkeit des Internets und anderer Infrastrukturen ist“, sagte die EU-Abgeordnete Julia Reda zur Vorstellung der neuen Initiative. „Wie viele andere Organisationen bauen Institutionen wie das Europäische Parlament, der Rat und die Kommission auf Freie Software, um ihre Websites und viele andere Dinge zu betreiben.“

Zwischen 2015 und 2016 lief die erste FOSSA-Ausgabe als Pilotprogramm mit einem Anfangsbudget von 1 Million Euro. Die beliebtesten Open-Source-Projekte wurden von der EU inventarisiert und die EU führte eine öffentliche Umfrage durch, um zu entscheiden, für welches Programm ein Sicherheitsaudit finanziert werden sollte. Dabei wurden zwei Projekte ausgewählt, der Apache HTTP Webserver und der KeePass Passwortmanager.

2017 lief FOSSA 2 als Bug-Bounty-Programm auf HackerOne für die VLC Media Player App. Das Programm erhielt 2 Millionen Euro an Finanzmitteln, während das Budget des Bug-Bounty-Programms auf 60.000 Euro begrenzt war.

FOSSA kehrt jetzt für seine dritte Ausgabe mit Budgets für 14 Bug-Bounty-Programme zurück, wobei die höchsten Budgets für PuTTY und das Drupal CMS reserviert sind.

(jf, hannover)

(siehe auch zdnet.de:)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE