Technischer Support
Dokumentation
Anmeldung
Kontakt
Wird gesichert, bevor es in Ihren Stapel gelangt – kontinuierlich bis zum Ablaufdatum.
Alle Vorteile des Ökosystems. Kein blindes Vertrauen.
SecureChain für Open-Source-Software
Eine gehärtete Python-Lieferkette – vertrauenswürdig bei der Installation, auf Malware geprüft und geschützt, solange sie in Ihrer Infrastruktur verbleibt
SecureChain ersetzt das öffentliche PyPI-Repository durch eine geprüfte, aus dem Quellcode neu kompilierte Alternative. Es überprüft jedes Paket vor der Installation auf bekannte Sicherheitsrisiken, stellt laufend Sicherheitspatches bereit und schützt Python-Abhängigkeiten auch dann noch, wenn die Betreuer keine Updates mehr veröffentlichen.
Abdeckung der Ökosysteme, die den heutigen Produktionsstacks zugrunde liegen
Das Problem mit der Python-Lieferkette ist tiefgreifender, als es auf den ersten Blick scheint
PyPI bildet die Grundlage für Millionen von Python-Anwendungen.
Es ist zudem ein zunehmend beliebtes Ziel für Angriffe auf die Lieferkette.
Typosquatting, Verwechslungen bei Abhängigkeiten und böswillige Uploads nehmen weiter zu – dabei wird das Vertrauen in „pip install“ ausgenutzt.
Ein Repository. Tausende von Zugangswegen.
-
Vorfall bei Ultralytics
Die böswillige Veröffentlichung eines weit verbreiteten ML-Pakets, die verdeutlicht, wie leicht vertrauenswürdige Pakete zum Diebstahl von Anmeldedaten und zur Ausführung von Code aus der Ferne führen können.
-
PyTorch Nightly – Kompromiss
Die interne Abhängigkeit von torchtriton wurde auf dem öffentlichen PyPI repliziert, wodurch die Nightly-Builds über die Indexauflösung von pip gekapert wurden.
Das ist die Realität der modernen Python-Entwicklung – und keine Ausnahme.
Wie Risiken in Ihre Python-Abhängigkeiten gelangen
Die Sichtbarkeit ist Teil der Funktionsweise von PyPI.
Bei jeder Installation und jedem Update von pip
Jede „pip install“-Anweisung greift auf ein öffentliches Ökosystem zurück, das auf Vertrauen basiert.
Dieses Vertrauen wird regelmäßig ausgenutzt.
- Ähnliche Pakete
- Gekürzte Fassungen
- Verwirrende Abhängigkeiten
- Versteckte Payloads in Setup-Skripten
Alles, was nach der Wartung passiert, verlangsamt sich
Jede „pip install“-Anweisung greift auf ein öffentliches Ökosystem zurück, das auf Vertrauen basiert.
Dieses Vertrauen wird regelmäßig ausgenutzt.
- Projekte kommen zum Stillstand
- Betreuer treten zurück
- Es tauchen weiterhin CVEs auf
Ihre Anwendung läuft weiter – doch der Schutz lässt nach.
Die Sicherheit bei Python besteht aus vielen Einzelteilen.
Jedes Tool lässt einen irgendwann auf der Strecke zurück.
SecureChain tut das nicht.
SecureChain unterscheidet sich von anderen Lösungen, da es nicht nur beratend wirkt, sondern aktiv eingreift.
Und das hört nicht auf, wenn der Betreuer aufhört.
für Open-Source-Software
Sicherheit über den gesamten Lebenszyklus hinweg für PyPI-Pakete
Vom Moment der Installation eines Pakets an – bis lange nachdem die Betreuer ihre Arbeit eingestellt haben.
Lebenszyklus eines Pakets
Adoptieren
Entwickeln & Ausliefern
Betreiben
Nach dem Ende der Lebensdauer
Auch lange nach Ablauf der Wartungsfrist abgedeckt
Sicherheit beim spontanen Besuch:
Für Ihre Entwickler ändert sich nichts
Richten Sie Ihren Repository-Manager – oder direkt Ihren Paketmanager – auf
SecureChain ein und arbeiten Sie weiter.
Dieselben Pakete, dieselben APIs, derselbe Arbeitsablauf.
Kompatibel mit:
JFrog Artifactory
Sonatype Nexus
GitHub-Pakete
Sichern Sie Ihre PyPI-Pakete in jeder Phase
Fragen Sie uns, wie SecureChain Pakete bei der Installation überprüft, Sicherheitslücken kontinuierlich behebt und Ihre Abhängigkeiten auch lange nach Ablauf des Supports schützt.
Frage stellen
Die Geschwindigkeit und Flexibilität von Open Source –„
“ ohne das Risiko.
Mit SecureChain ist jedes Paket:
Überholt und geprüft
Jedes Paket wird in gesicherten, isolierten Umgebungen aus dem Quellcode neu kompiliert – keine übernommenen Binärdateien, keine undurchsichtigen Artefakte aus dem Upstream. Was Sie installieren, ist genau das, was kompiliert und durchgängig geprüft wurde.
Auf Malware geprüft
Jedes Paket wird auf bekannte Malware, verdächtige Codemuster und Risiken in der Lieferkette überprüft. Alles, was die Überprüfung nicht besteht, wird blockiert, bevor es Ihre Umgebung erreicht.
Laufend aktualisiert
Aktive Komponenten werden im Rahmen des SLA überwacht und bei Auftreten von CVEs gepatcht. Wenn die Wartung durch den Upstream-Entwickler endet, stellt der Endless Lifecycle Support (ELS) weiterhin Korrekturen bereit, solange Sie das Paket nutzen.
Vorschriftskonform und prüfungsbereit
Behalten Sie den genauen Überblick darüber, welche Software läuft und welche Patches installiert wurden. SLSA Level 3-Provenienz, SBOM und VEX bieten umfassende Sicherheit in der Lieferkette – genau die Nachweise, die Ihre Prüfer auf Abruf benötigen.
+ Berichterstattung auf Abruf
Sollte ein Paket, auf das Sie angewiesen sind, noch nicht im Katalog enthalten sein, nehmen wir es ohne zusätzliche Kosten in
auf: geprüft, gepatcht und unterstützt wie jedes andere auch.
Entwickelt für Teams, die das Risiko tragen:
Sicherheit und Entwicklung (
) DevSecOps
Komponenten werden bei der Installation geprüft, danach besteht kontinuierlicher Schutz. Keine Lücken während des gesamten Lebenszyklus.
Führungskräfte im Bereich Ingenieurwesen
Keine Änderungen am Arbeitsablauf. Keine erzwungenen Neuprogrammierungen, wenn Abhängigkeiten das Ende ihrer Lebensdauer erreichen.
Compliance-
- und GRC-Lösungen
Integrierte SBOMs, VEX, Herkunftsdaten und Patch-Abdeckung – von Grund auf auditfähig.
Warum TuxCare?
Innovatoren auf der ganzen Welt vertrauen
Häufig gestellte Fragen
Ja. Python-Pakete können während der Installation über „setup.py“ oder beim Importieren Code ausführen, wodurch „pip install“ zu einem häufigen Risiko in der Python-Lieferkette wird. Angreifer haben dieses Verhalten bereits zum Diebstahl von Anmeldedaten, zur Erkundung der Umgebung und zur Auslieferung von Schadcode genutzt. SecureChain analysiert den Quellcode von Python-Paketen vor der Bereitstellung, kennzeichnet verdächtiges Verhalten und blockiert bösartige Pakete, bevor sie in Ihre Umgebung gelangen.
Standardmäßig ist dies in der Regel nicht der Fall. Das öffentliche PyPI verteilt Wheels und Quellcode-Distributionen, ohne zu garantieren, dass diese mit dem Upstream-Repository oder dem Build-Prozess übereinstimmen. Dadurch entsteht eine Lücke zwischen dem geprüften Quellcode und den installierten Artefakten. SecureChain erstellt Pakete aus verifiziertem Quellcode in einer kontrollierten Umgebung neu, sodass das, was Sie installieren, rückverfolgbar, überprüfbar und mit dem Upstream-Code konsistent ist.
Ein Großteil davon stammt aus Abhängigkeiten, die Sie nicht direkt ausgewählt haben. Ein einziges Python-Paket kann über den Resolver von pip Dutzende transitiver Abhängigkeiten einbinden. Viele davon werden nie überprüft, können aber dennoch Code in Ihrer Umgebung ausführen. SecureChain sichert den gesamten Abhängigkeitsgraphen und wendet dabei Überprüfungen, Malware-Scans und Patching-Maßnahmen auf jedes einzelne Paket an – nicht nur auf die Abhängigkeiten der obersten Ebene.
Sie müssen die Kontrolle darüber haben, was in Ihre Umgebung gelangt – und sich nicht nur nach der Installation mit Scans begnügen. SecureChain überprüft Python-Pakete vor der Installation, blockiert schädliche Pakete und schließt Sicherheitslücken im Laufe der Zeit kontinuierlich. Dadurch erhalten Produktionsteams eine kontrollierte, überprüfbare Quelle für Python-Pakete, die während ihres gesamten Lebenszyklus sicher bleiben.
Nein. SecureChain überwacht Python-Pakete kontinuierlich auf neu bekannt gewordene CVEs und stellt validierte Korrekturen bereit, die auf Ihre festgelegten Versionen abgestimmt sind. Dadurch müssen Sie Sicherheitshinweise, Schwachstellendatenbanken oder pip-Audit-Ergebnisse nicht mehr manuell nachverfolgen.
Das Risiko steigt, da Sicherheitslücken auch nach dem Ende des Supports noch entdeckt werden können. SecureChain sorgt im Rahmen des „Endless Lifecycle Support“ weiterhin für Patches und portiert kritische Korrekturen zurück, sodass Sie weiterhin geschützt bleiben, ohne ein Upgrade oder eine Neuprogrammierung Ihrer Anwendung vornehmen zu müssen.
Nein. SecureChain fungiert als direkter Ersatz für PyPI. Entwickler können weiterhin dieselben Tools, Befehle und Arbeitsabläufe nutzen, ohne ihre Build-Pipelines oder Entwicklungsabläufe ändern zu müssen.
