Die Alternative zu ActiveState, die auch dann noch Patches bereitstellt, wenn der Upstream-Entwickler den Support einstellt – TuxCare

Ein Vergleich der beiden Kataloge

Merkmal
SecureChain
ActiveState
Katalogmodell ✓Eingemeinsamer Katalog mit vorab geprüften Paketen, die aus dem Quellcode neu kompiliert wurden ✓Einprivater Katalog für jeden Kunden, der aus der Bibliothek von ActiveState zusammengestellt und aus dem Quellcode neu erstellt wurde
SLSA-Herkunft ✓Stufe3 ✓Stufe3
SBOM und VEX ✓Im Lieferumfang enthalten ✓Im Lieferumfang enthalten
SLA zur Behebung von CVE-Schwachstellen ✓Wirdfür jeden Schweregrad veröffentlicht, und die Frist läuft unabhängig davon, ob es bereits eine Lösung auf der vorgelagerten Ebene gibt oder nicht ⚠Angegebenmit 5, 10 und 30 Werktagen, beginnend sobald eine Korrektur auf der vorgelagerten Ebene vorliegt
Wer schreibt den Patch? ✓Upstream-Korrekturen sowie unsere eigenen Patches für die von Ihnen verwendete Version ✗Von vorgelagerten Faktoren abhängig
Patches für Produkte am Ende ihres Lebenszyklus (EOL) ✓Der Supportim Rahmen des „Endless Lifecycle Support“ wirdfür genau die von Ihnen verwendeten Versionen fortgesetzt ⚠Der Versicherungsschutzendet mit dem Tod; danach ist eine individuelle Vereinbarung erforderlich
SLA zur Behebung von EOL-Problemen ✓Ja, gemessen anhand der CVE-Veröffentlichung ✗Keineveröffentlicht
Versionen, die ohne Vorankündigung eingestellt wurden ✓Auf der Grundlage eines veröffentlichten SLA aktualisiert, keine EOL-Ankündigung erforderlich ✗Keineveröffentlicht
Schutz vor Malware ✓Der Quellcodewird bei der Aufnahme auf verstecktes bösartiges Verhalten und verdächtige Muster überprüft, nicht nur auf bekannte Signaturen ⚠Keineveröffentlichte Methode; keine Angaben dazu, ob der Quellcode überprüft wird
On-Demand-Pakete ✓Die meistenPakete sind bereits im Katalog enthalten; fehlende Pakete werden ohne zusätzliche Kosten hinzugefügt ⚠DerKataloginhalt wird individuell für jeden Kunden zusammengestellt, und jede fehlende Komponente führt zu einer Wartezeit.

Patches sollten nicht eingestellt werden, nur weil Upstream dies getan hat

Ältere Versionen werden selten offiziell ausgemustert. Der Upstream-Entwickler macht einfach weiter. SecureChain stellt weiterhin Patches für die von Ihnen verwendete Version bereit – gemäß einer veröffentlichten SLA –, sodass eine veraltete Abhängigkeit nicht plötzlich zu einem unerwarteten Migrationsprojekt wird.

Angebot anfordern
SecureChain

Drei Unterschiede, die man in der Produktion spürt

Lade vom ersten Tag an geprüfte Pakete herunter

SecureChain wird mit Tausenden von bereits geprüften Paketen pro Ökosystem ausgeliefert, sodass die gängigen Abhängigkeiten bereits vorhanden sind, bevor jemand eine Anfrage stellt. Die ActiveState -Kataloge werden kundenspezifisch zusammengestellt.

Auch nach Einstellung der Upstream-Entwicklung weiterhin Patches erhalten

Viele Open-Source-Bibliotheken geben niemals ein Ende ihrer Lebensdauer bekannt. Sie stellen lediglich die Bereitstellung von Korrekturen ein. SecureChain erkennt dies und sorgt weiterhin für Patches. ActiveState bietet auf Anfrage eine separate Vereinbarung für diese Bibliotheken an.

Entdecke, was noch niemand bemerkt hat

Ein einwandfreier CVE-Eintrag bedeutet nicht, dass ein Paket sicher ist. SecureChain scannt den Quellcode jedes Pakets bei der Aufnahme auf versteckte Malware. ActiveState dokumentiert nicht, wie seine Malware-Prüfungen funktionieren.

Wir haben das Patching auf Unternehmensniveau in einem beispiellosen Umfang bei „
“ umgesetzt – und das ist erst der Anfang

Über 2.700
Unternehmenskunden

Über 14.000
Behobene Sicherheitslücken

Über 420.000
gelieferte Patches

Über 70.000sorgfältig zusammengestellte Pakete

Wechseln Sie, ohne Ihre Pipeline neu aufzubauen

  • Wechseln Sie von Ihrem ActiveState-Katalog zu den TuxCare-Builds der Versionen, die Sie bereits nutzen – mit einer einmaligen Einrichtung pro Repository.

  • Behalten Sie Ihre Paketmanager und Installationsbefehle bei. Jedes Paket verfügt über eine Herkunftsangabe gemäß SLSA Level 3, eine SBOM und VEX.

Holen Sie sich Ihre Pakete noch heute und Ihre Aufnäher pünktlich

Schicken Sie uns die Pakete und Versionen, auf die Ihr Team angewiesen ist. Wir zeigen Ihnen, was bereits im Katalog enthalten ist und an welcher Stelle TuxCare einspringt, wenn der Upstream-Entwickler den Support einstellt.

Angebot anfordern

Häufig gestellte Fragen

ActiveState entwickelt seit Ende der 1990er Jahre Open-Source-Laufzeitumgebungen für Programmiersprachen und ist vor allem für Python, Perl und Tcl bekannt. Der „Curated Catalog“ des Unternehmens ist ein privates Repository mit Komponenten aus der eigenen Bibliothek, die in einer SLSA-Level-3-Infrastruktur aus dem Quellcode kompiliert wurden und über signierte SBOMs sowie Herkunftsnachweise verfügen. Die angekündigten SLAs für die Behebung von Sicherheitslücken treten in Kraft, sobald eine Korrektur vom Upstream-Entwickler vorliegt.

SecureChain bietet Ihnen zu Beginn einen gemeinsamen Katalog mit vorab geprüften Paketen, sodass das meiste, was Sie benötigen, bereits vom ersten Tag an verfügbar ist. Wenn eine CVE in einer von Ihnen verwendeten Version auftritt und der Upstream-Entwickler noch keine Korrektur bereitgestellt hat, erstellt TuxCare eine solche und stellt sie im Rahmen eines veröffentlichten SLA bereit. Außerdem wird der Quellcode jedes Pakets auf böswilliges Verhalten überprüft, bevor es in den Katalog aufgenommen wird.

In der Regel nicht. Die meisten Pakete sind bereits im SecureChain-Katalog enthalten. Was noch fehlt, wird ohne zusätzliche Kosten hinzugefügt und wie alles andere auch unterstützt.

SecureChain stellt im Rahmen eines veröffentlichten SLA weiterhin Patches bereit – zunächst im Rahmen von SecureChain und anschließend im Rahmen des „Endless Lifecycle Support“ –, solange Sie diese Version nutzen. Dies gilt auch für Bibliotheken, die ältere Versionen ohne vorherige Ankündigung einstellen.

Ja. Sobald das Upstream-Projekt einen Fix bereitstellt, wird dieser von SecureChain übernommen. Falls das Upstream-Projekt hier versagt, entwickeln die Ingenieure von TuxCare den Fix und portieren ihn auf genau die Version, die Sie verwenden.

SecureChain überprüft die Quelle jedes Pakets bei der Annahme auf verdächtige Codemuster, Risiken in der Lieferkette wie Hooks zur Installationszeit und verschleierte Payloads sowie bekannte Malware. Die dokumentierten Prüfungen von ActiveState gleichen Komponenten mit bekannten CVEs und bekannten schädlichen Paketen ab.

Jedes SecureChain-Paket wird mit einer Herkunftsnachweis nach SLSA Level 3, einer SBOM und VEX-Daten ausgeliefert – genau den Nachweisen, die Auditoren verlangen.

Ja. Richten Sie Ihren Repository-Manager oder Paketmanager auf SecureChain statt auf Ihren ActiveState-Katalog aus und überprüfen Sie anschließend Ihre Herkunftsbescheinigungen erneut. Ihre Builds und Workflows bleiben unverändert.

Ja. SecureChain ist mit JFrog Artifactory, Sonatype Nexus und GitHub Packages kompatibel, oder Ihr Paketmanager kann direkt darauf verweisen.

TuxCare beschäftigt sich seit 15 Jahren mit der Bereitstellung von Patches für Open-Source-Software, oft noch lange nachdem der Support durch die Originalentwickler eingestellt wurde. SecureChain bringt diese technische Expertise bereits in einer früheren Phase der Lieferkette ein. Die Malware-Analyse stützt sich auf Imunify, unsere Schwesterorganisation, die eine der größten serverseitigen Plattformen zur Malware-Erkennung im Hosting-Bereich betreibt.