Wird gesichert, bevor es in Ihren Stapel gelangt – kontinuierlich bis zum Ablaufdatum.
Alle Vorteile des Ökosystems. Kein blindes Vertrauen.
SecureChain für Open-Source-Software
Ein sicheres, verifiziertes Maven-Repository für Ihre Java-Abhängigkeiten, auf das Sie sich beim Erstellen verlassen können und das so lange geschützt bleibt, wie diese in Ihrer Infrastruktur verbleiben
Sicherheit für Enterprise Java- und Gradle-Abhängigkeiten aus einem verifizierten Maven-Repository mit kontinuierlicher Paketüberprüfung und Patch-Bereitstellung. SecureChain ersetzt öffentliche Maven Central-Repositorys durch eine verifizierte, aus dem Quellcode neu kompilierte Alternative. Das System überprüft jede Komponente während der Abhängigkeitsauflösung, stellt kontinuierlich CVE-Korrekturen bereit und gewährleistet den Schutz auch nach Ablauf des Upstream-Supports.
Abdeckung der Ökosysteme, die den heutigen Produktionsstacks zugrunde liegen
Sprechen Sie mit uns
Holen Sie sich ein sicheres, verifiziertes Maven-RepositoryDie Java-Lieferkette ist anfälliger, als es den Anschein hat
Maven Central ist ein grundlegender Bestandteil der modernen Java-Entwicklung.
Es ist zudem ein besonders lohnendes Ziel.
Von Verwechslungen bei Abhängigkeiten bis hin zu kompromittierten Artefakten: Das Vertrauensmodell rund um Java-Abhängigkeiten steht unter Druck.
Ein Repository. Tausende von Zugangswegen.
-
Log4Shell
Eine kritische Sicherheitslücke in Log4j, durch die Millionen von Systemen gefährdet waren, verdeutlicht, wie tief verwurzelte Abhängigkeiten zu einem systemischen Risiko werden können.
-
MavenGate
Tausende von GroupIDs in Maven Central sind mit abgelaufenen Domains verknüpft, was es Angreifern ermöglicht, vertrauenswürdige Namespaces zu übernehmen und Bibliotheken mit Hintertüren in legitime Abhängigkeitsbäume einzuschleusen.
In Java sind Risiken nicht immer auf den ersten Blick erkennbar – sie sind tief in der Struktur verborgen.
Wie Risiken in Ihre Java-Abhängigkeiten gelangen
Risiken entstehen dadurch, wie Abhängigkeiten aufgelöst und verwaltet werden.
Beim Erstellen und bei jeder Abhängigkeitsauflösung
Bei jedem Build werden transitive Abhängigkeiten aus einem öffentlichen Repository abgerufen.
Eine Kette ist nur so stark wie ihr schwächstes Glied.
- Manipulierte Artefakte
- Verwirrung bei den Namensräumen
- Kompromittierte Betreuer
- Nicht verifizierte Binärdateien
Alles, was nach Ablauf des Supports geschieht
Bei jedem Build werden transitive Abhängigkeiten aus einem öffentlichen Repository abgerufen.
Eine Kette ist nur so stark wie ihr schwächstes Glied.
- Bibliotheken werden nicht gepflegt
- Die Anzahl der CVEs steigt
- Patches werden eingestellt
Aber deine Anwendung versendet sie weiterhin.
Die Java-Sicherheit ist fragmentiert – der Schutz endet
dort, wo Ihre Sicherheitslücke beginnt.
SecureChain macht weiter.
SecureChain unterscheidet sich von anderen Lösungen, da es nicht nur beratend wirkt, sondern aktiv eingreift.
Und das hört nicht auf, wenn der Betreuer aufhört.
für Open-Source-Software
Sicherheit über den gesamten Lebenszyklus hinweg für Maven-Abhängigkeiten
Vom Moment an, in dem Sie eine Abhängigkeit hinzufügen – bis lange nachdem die Betreuer die Pflege eingestellt haben.
Lebenszyklus eines Pakets
Adoptieren
Entwickeln & Ausliefern
Betreiben
Nach dem Ende der Lebensdauer
Auch lange nach Ablauf der Wartungsfrist abgedeckt
Sicherheit beim spontanen Besuch:
Für Ihre Entwickler ändert sich nichts
Richten Sie Ihren Repository-Manager – oder direkt Ihren Paketmanager – auf
SecureChain ein und arbeiten Sie weiter.
Dieselben Pakete, dieselben APIs, derselbe Arbeitsablauf.
Kompatibel mit:
JFrog Artifactory
Sonatype Nexus
GitHub-Pakete
Sichern Sie Ihre Java-Abhängigkeiten in jeder Phase
Fragen Sie uns, wie SecureChain Pakete bei der Installation überprüft, Sicherheitslücken kontinuierlich behebt und Ihre Abhängigkeiten auch lange nach Ablauf des Supports schützt.
Frage stellen
Die Geschwindigkeit und Flexibilität von Open Source –„
“ ohne das Risiko.
Mit SecureChain wird jedes Java- und Maven-Paket überprüft und gesichert.
Überholt und geprüft
Jedes Maven-Paket wird in gesicherten, isolierten Umgebungen aus dem Quellcode neu kompiliert – ohne übernommenen Binärcode und ohne undurchsichtige Upstream-Artefakte. Was Sie installieren, ist genau das, was kompiliert und durchgängig überprüft wurde.
Auf Malware geprüft
Jede Java-Abhängigkeit wird auf bekannte Malware, verdächtige Codemuster und Risiken in der Lieferkette überprüft. Alles, was die Überprüfung nicht besteht, wird blockiert, bevor es in Ihre Umgebung gelangt.
Laufend aktualisiert
Aktive Komponenten werden im Rahmen des SLA überwacht und bei Auftreten von CVEs gepatcht. Wenn die Wartung durch den Upstream-Entwickler endet, stellt der Endless Lifecycle Support (ELS) weiterhin Korrekturen bereit, solange Sie das Paket nutzen.
Vorschriftskonform und prüfungsbereit
Erhalten Sie einen genauen Überblick darüber, welche Software ausgeführt wird und welche Patches bereits installiert wurden. SLSA Level 3-Provenienz, SBOM und VEX bieten Ihnen auf Abruf eine vollständige Software-Bestandsaufnahme und die Gewährleistung sicherer Builds.
+ Berichterstattung auf Abruf
Sollte ein Paket, auf das Sie angewiesen sind, noch nicht im Katalog enthalten sein, nehmen wir es ohne zusätzliche Kosten in
auf: geprüft, gepatcht und unterstützt wie jedes andere auch.
Entwickelt für Teams, die das Risiko tragen:
Sicherheit und Entwicklung (
) DevSecOps
Komponenten werden bei der Installation geprüft, danach besteht kontinuierlicher Schutz. Keine Lücken während des gesamten Lebenszyklus.
Führungskräfte im Bereich Ingenieurwesen
Keine Änderungen am Arbeitsablauf. Keine erzwungenen Neuprogrammierungen, wenn Abhängigkeiten das Ende ihrer Lebensdauer erreichen.
Compliance-
- und GRC-Lösungen
Integrierte SBOMs, VEX, Herkunftsdaten und Patch-Abdeckung – von Grund auf auditfähig.
Warum TuxCare?
Innovatoren auf der ganzen Welt vertrauen
Häufig gestellte Fragen
Nicht ganz. Maven Central verteilt Artefakte so, wie sie veröffentlicht wurden, überprüft jedoch nicht, wie die einzelnen Binärdateien erstellt wurden oder ob sie mit dem Quell-Repository übereinstimmen. SecureChain erstellt Java-Artefakte anhand verifizierter Quellcodes neu und trägt so dazu bei, dass die von Ihnen verwendeten JARs konsistent, überprüfbar und frei von versteckten Änderungen sind.
Nicht verifizierte Binärdateien und versteckte transitive Abhängigkeiten. Eine einzige Java-Abhängigkeit kann Dutzende indirekter Bibliotheken nach sich ziehen. Vorfälle wie Log4Shell haben gezeigt, wie weit sich Schwachstellen über Abhängigkeiten ausbreiten können, von deren Nutzung Teams möglicherweise gar nichts wissen. SecureChain schützt den gesamten Java-Abhängigkeitsbaum und reduziert so blinde Flecken in Ihrer Anwendung.
Ja. Selbst ein einwandfreier Quellcode kann zu einer kompromittierten JAR-Datei führen, wenn die Build-Umgebung manipuliert wird. Während der Kompilierung kann bösartiger Bytecode eingeschleust werden, wodurch das Vertrauen in Binärdateien zu einem erheblichen Risiko für das Java-Ökosystem wird. SecureChain verringert dieses Risiko, indem es Artefakte in kontrollierten Umgebungen neu erstellt und die Ausgabe anhand des verifizierten Quellcodes überprüft.
Sie benötigen die Kontrolle sowohl über die Artefakte als auch über deren Lebenszyklen. SecureChain bietet ein verifiziertes Repository für Java-Abhängigkeiten, blockiert bösartige oder manipulierte Artefakte und behebt Sicherheitslücken kontinuierlich, sodass Builds sicher bleiben, ohne bestehende Maven- oder Gradle-Workflows zu beeinträchtigen.
Nein. SecureChain stellt validierte Patches bereit, die auf Ihre aktuellen Versionen abgestimmt sind. Das verringert den Druck, häufig Upgrades durchführen zu müssen, und hilft dabei, grundlegende Änderungen in Java-Anwendungen in Unternehmen zu vermeiden.
Sicherheitspatches werden eingestellt, doch die Sicherheitslücken bleiben bestehen. SecureChain wird durch den „Endless Lifecycle Support“ für Java-Abhängigkeiten ergänzt, bei dem Korrekturen rückportiert werden, sodass Sie auch ohne größere Upgrades oder Neuprogrammierungen weiterhin sicher bleiben.
Nein. SecureChain fungiert als Drop-in-Repository. Maven- und Gradle-Builds laufen weiterhin wie bisher.
