Technischer Support
Dokumentation
Anmeldung
Kontakt
Wird gesichert, bevor es in Ihren Stapel gelangt – kontinuierlich bis zum Ablaufdatum.
Alle Vorteile des Ökosystems. Kein blindes Vertrauen.
SecureChain für Open-Source-Software
Gesicherte Go-Modul-Repositorys – vertrauenswürdig beim Abruf, auf Malware geprüft und geschützt, solange sie in Ihrem Stack verbleiben
SecureChain ersetzt öffentliche Go-Modul-Repositorys durch eine geprüfte, aus dem Quellcode neu kompilierte Alternative. Es überprüft jedes Modul beim Abruf, sorgt für eine kontinuierliche Behebung von Sicherheitslücken und schützt Abhängigkeiten auch noch lange nach dem Ende der Upstream-Entwicklung.
Abdeckung der Ökosysteme, die den heutigen Produktionsstacks zugrunde liegen
Hinter der Einfachheit von Go verbergen sich Risiken in der Lieferkette
Go-Modul-Repositorys sind auf Einfachheit und Geschwindigkeit ausgelegt.
Diese Einfachheit beruht jedoch in hohem Maße auf verteiltem Vertrauen.
Öffentliche Repositorys, VCS-Quellen und Proxys bieten allesamt potenzielle Angriffspunkte.
Verteilte Quellen. Anhaltendes Risiko.
-
Missbrauch des Proxy-Caches des Go-Moduls
Einmal hochgeladene schädliche Module verbleiben auf unbestimmte Zeit im Cache des Go Module Proxy und nutzen dabei genau jene Unveränderlichkeit aus, die reproduzierbare Builds gewährleistet.
-
Repojacking
Verlassene GitHub-Benutzernamen werden von Angreifern übernommen, die daraufhin den Modul-Namensraum kontrollieren und Schadcode über einen vertrauenswürdigen Importpfad verbreiten.
Im Go-Spiel muss Vertrauen überprüft werden, man darf es nicht einfach voraussetzen.
Wie Risiken in Ihre Go-Abhängigkeiten gelangen
Das Risiko hängt direkt davon ab, wie Module abgerufen und verwaltet werden.
Um abrufen und Jede Version abrufen
Jeder Aufruf ruft Code aus externen Quellen ab.
Diese Kette lässt sich manipulieren.
- Manipulierte Repositorys
- Schädliche Module
- Unbestätigte Quellen
- Eingebetteter Code
Alles, was nach dem Ende der Wartungsarbeiten geschieht
Jeder Aufruf ruft Code aus externen Quellen ab.
Diese Kette lässt sich manipulieren.
- Betreuer treten zurück
- Schwachstellen treten mit der Zeit zutage
Ihre Wertpapiere ändern sich nicht – ihr Risikoprofil jedoch schon.
Die Sicherheit von Go endet beim Scannen.
Was danach passiert, liegt ganz bei Ihnen.
Bis SecureChain.
SecureChain unterscheidet sich von anderen Lösungen, da es nicht nur beratend wirkt, sondern aktiv eingreift.
Und das hört nicht auf, wenn der Betreuer aufhört.
für Open-Source-Software
Sicherheit über den gesamten Lebenszyklus für Go-Module
Vom Moment an, in dem Sie ein Modul hinzufügen – bis lange nachdem die Betreuer die Pflege eingestellt haben.
Lebenszyklus eines Pakets
Adoptieren
Entwickeln & Ausliefern
Betreiben
Nach dem Ende der Lebensdauer
Auch lange nach Ablauf der Wartungsfrist abgedeckt
Sicherheit beim spontanen Besuch:
Für Ihre Entwickler ändert sich nichts
Richten Sie Ihren Repository-Manager – oder direkt Ihren Paketmanager – auf
SecureChain ein und arbeiten Sie weiter.
Dieselben Pakete, dieselben APIs, derselbe Arbeitsablauf.
Kompatibel mit:
JFrog Artifactory
Sonatype Nexus
GitHub-Pakete
Sichern Sie Ihre Go-Pakete in jeder Phase
Fragen Sie uns, wie SecureChain Pakete bei der Installation überprüft, Sicherheitslücken kontinuierlich behebt und Ihre Abhängigkeiten auch lange nach Ablauf des Supports schützt.
Frage stellen
Die Geschwindigkeit und Flexibilität von Open Source –„
“ ohne das Risiko.
Mit SecureChain ist jedes Paket:
Überholt und geprüft
Jedes Paket wird in gesicherten, isolierten Umgebungen aus dem Quellcode neu kompiliert – keine übernommenen Binärdateien, keine undurchsichtigen Artefakte aus dem Upstream. Was Sie installieren, ist genau das, was kompiliert und durchgängig geprüft wurde.
Auf Malware geprüft
Jedes Paket wird auf bekannte Malware, verdächtige Codemuster und Risiken in der Lieferkette überprüft. Alles, was die Überprüfung nicht besteht, wird blockiert, bevor es Ihre Umgebung erreicht.
Laufend aktualisiert
Aktive Komponenten werden im Rahmen des SLA überwacht und bei Auftreten von CVEs gepatcht. Wenn die Wartung durch den Upstream-Entwickler endet, stellt der Endless Lifecycle Support (ELS) weiterhin Korrekturen bereit, solange Sie das Paket nutzen.
Vorschriftskonform und prüfungsbereit
Behalten Sie den genauen Überblick darüber, welche Software läuft und welche Patches installiert wurden. SLSA Level 3-Provenienz, SBOM und VEX bieten umfassende Sicherheit in der Lieferkette – genau die Nachweise, die Ihre Prüfer auf Abruf benötigen.
+ Berichterstattung auf Abruf
Sollte ein Paket, auf das Sie angewiesen sind, noch nicht im Katalog enthalten sein, nehmen wir es ohne zusätzliche Kosten in
auf: geprüft, gepatcht und unterstützt wie jedes andere auch.
Entwickelt für Teams, die das Risiko tragen:
Sicherheit und Entwicklung (
) DevSecOps
Komponenten werden bei der Installation geprüft, danach besteht kontinuierlicher Schutz. Keine Lücken während des gesamten Lebenszyklus.
Führungskräfte im Bereich Ingenieurwesen
Keine Änderungen am Arbeitsablauf. Keine erzwungenen Neuprogrammierungen, wenn Abhängigkeiten das Ende ihrer Lebensdauer erreichen.
Compliance-
- und GRC-Lösungen
Integrierte SBOMs, VEX, Herkunftsdaten und Patch-Abdeckung – von Grund auf auditfähig.
Warum TuxCare?
Innovatoren auf der ganzen Welt vertrauen
Häufig gestellte Fragen
Nein. Go-Prüfsummen gewährleisten Konsistenz, nicht jedoch Sicherheit. Sie bestätigen, dass sich der Code seit der Veröffentlichung nicht geändert hat, beweisen jedoch nicht, dass das Modul sicher oder frei von böswilligem Verhalten ist. SecureChain überprüft und analysiert Go-Module vor der Auslieferung und trägt so sowohl zur Konsistenz als auch zur Sicherheit bei.
Ja. Go-Module können schädliche Logik in `init()`-Funktionen oder bedingtes Verhalten enthalten, das nur in bestimmten Umgebungen aktiviert wird, was die Erkennung erschwert. SecureChain erkennt und blockiert diese Bedrohungen, bevor sie in Ihre Builds gelangen.
Oft größer als erwartet. Selbst einfache Go-Dienste können Dutzende indirekter Module einbinden, von denen jedes ein potenzielles Risiko darstellt. SecureChain sichert den gesamten Go-Abhängigkeitsgraphen und stellt sicher, dass jedes Modul überprüft und geschützt wird.
Eine Prüfsummenüberprüfung allein reicht nicht aus. SecureChain überprüft Go-Module vor ihrer Verwendung, blockiert bösartige Module und behebt Sicherheitslücken kontinuierlich, sodass Produktionsteams über eine sichere Lieferkette für Abhängigkeiten verfügen.
Nein. SecureChain überwacht CVEs und die Go-Sicherheitslückendatenbank und stellt anschließend validierte Korrekturen bereit, die auf Ihre aktuellen Versionen abgestimmt sind.
Das Risiko steigt mit der Zeit. SecureChain sorgt im Rahmen des „Endless Lifecycle Support“ weiterhin für Sicherheitspatches, sodass Sie Ihre Sicherheit gewährleisten können, ohne Upgrades oder Umgestaltungen vornehmen zu müssen.
Nein. SecureChain lässt sich in bestehende Go-Modul-Umgebungen integrieren, ohne die Arbeitsabläufe der Entwickler zu verändern. Die Befehle für Go-Module funktionieren weiterhin wie bisher.
