Technischer Support
Dokumentation
Anmeldung
Kontakt
Wird gesichert, bevor es in Ihren Stapel gelangt – kontinuierlich bis zum Ablaufdatum.
Alle Vorteile des Ökosystems. Kein blindes Vertrauen.
SecureChain für Open-Source-Software
Eine gehärtete Rust-Lieferkette – vertrauenswürdig bei der Installation, auf Malware geprüft und geschützt, solange sie Teil Ihres Stacks ist
SecureChain ersetzt crates.io durch eine geprüfte, aus dem Quellcode neu kompilierte Alternative. Es überprüft jedes Crate bei der Installation, behebt Sicherheitslücken kontinuierlich und sorgt dafür, dass Ihre Rust-Abhängigkeiten auch dann geschützt bleiben, wenn die Betreuer das Projekt nicht mehr betreuen.
Abdeckung der Ökosysteme, die den heutigen Produktionsstacks zugrunde liegen
Rust ist von Grund auf sicherer – nicht aufgrund der Lieferkette
Rust verringert Probleme im Zusammenhang mit der Speichersicherheit.
Das Risiko in der Lieferkette geht jedoch über die Sprache selbst hinaus.
Crates.io ist nach wie vor auf das Vertrauen in die Herausgeber und den verteilten Code angewiesen.
Vertrauenswürdiges Ökosystem. Reale Angriffsfläche.
-
Vorfall von Typosquatting bei rustdecimal
Eine gefälschte Crate, die veröffentlicht wurde, um Entwickler dazu zu verleiten, eine schädliche Abhängigkeit zu installieren, verdeutlicht die Risiken des vertrauensbasierten Namensvergleichs.
-
Übernahme einer nicht gewarteten Kiste
Verlassene Container, deren Eigentumsrechte übertragen wurden, wurden dazu genutzt, um schädliche Updates unter ehemals vertrauenswürdigen Namen zu versenden.
Die Speichersicherheit gilt nicht für die Betreuer.
Wie Risiken in Ihre Rust-Abhängigkeiten gelangen
Risiken hängen davon ab, wie Crates veröffentlicht und genutzt werden.
Bei jedem Build des Cargo-Pakets und jeder Aktualisierung der Abhängigkeiten
Bei jedem Cargo-Build werden die Abhängigkeiten aus einem öffentlichen Repository aufgelöst.
Dieses Vertrauen kann missbraucht werden.
- Ähnliche Kisten
- Gefährdete Verlage
- Manipulierte Veröffentlichungen
- Versteckte Verhaltensweisen
Alles, was nach dem Ausblenden der Wartungsmeldung geschieht
Bei jedem Cargo-Build werden die Abhängigkeiten aus einem öffentlichen Repository aufgelöst.
Dieses Vertrauen kann missbraucht werden.
- Projekte kommen zum Stillstand
- Betreuer verlassen das Projekt
- Es tauchen weiterhin CVEs auf
Ihre Builds bleiben unverändert – Ihr Risiko jedoch nicht.
Die Sicherheit in Rust hängt größtenteils davon ab, was man selbst zusammenstellt.
Die einzelnen Teile ergeben zusammen keine dauerhafte Abdeckung.
SecureChain hingegen schon.
SecureChain unterscheidet sich von anderen Lösungen, da es nicht nur beratend wirkt, sondern aktiv eingreift.
Und das hört nicht auf, wenn der Betreuer aufhört.
für Open-Source-Software
Sicherheit über den gesamten Lebenszyklus hinweg für Rust-Crates
Vom Moment an, in dem Sie eine Abhängigkeit hinzufügen – bis lange nachdem die Betreuer die Pflege eingestellt haben.
Lebenszyklus eines Pakets
Adoptieren
Entwickeln & Ausliefern
Betreiben
Nach dem Ende der Lebensdauer
Auch lange nach Ablauf der Wartungsfrist abgedeckt
Sicherheit beim spontanen Besuch:
Für Ihre Entwickler ändert sich nichts
Richten Sie Ihren Repository-Manager – oder direkt Ihren Paketmanager – auf
SecureChain ein und arbeiten Sie weiter.
Dieselben Pakete, dieselben APIs, derselbe Arbeitsablauf.
Kompatibel mit:
JFrog Artifactory
Sonatype Nexus
GitHub-Pakete
Sichern Sie Ihre Rust-Crates in jeder Phase
Fragen Sie uns, wie SecureChain Pakete bei der Installation überprüft, Sicherheitslücken kontinuierlich behebt und Ihre Abhängigkeiten auch lange nach Ablauf des Supports schützt.
Frage stellen
Die Geschwindigkeit und Flexibilität von Open Source –„
“ ohne das Risiko.
Mit SecureChain ist jedes Paket:
Überholt und geprüft
Jedes Paket wird in gesicherten, isolierten Umgebungen aus dem Quellcode neu kompiliert – keine übernommenen Binärdateien, keine undurchsichtigen Artefakte aus dem Upstream. Was Sie installieren, ist genau das, was kompiliert und durchgängig geprüft wurde.
Auf Malware geprüft
Jedes Paket wird auf bekannte Malware, verdächtige Codemuster und Risiken in der Lieferkette überprüft. Alles, was die Überprüfung nicht besteht, wird blockiert, bevor es Ihre Umgebung erreicht.
Laufend aktualisiert
Aktive Komponenten werden im Rahmen des SLA überwacht und bei Auftreten von CVEs gepatcht. Wenn die Wartung durch den Upstream-Entwickler endet, stellt der Endless Lifecycle Support (ELS) weiterhin Korrekturen bereit, solange Sie das Paket nutzen.
Vorschriftskonform und prüfungsbereit
Behalten Sie den genauen Überblick darüber, welche Software läuft und welche Patches installiert wurden. SLSA Level 3-Provenienz, SBOM und VEX bieten umfassende Sicherheit in der Lieferkette – genau die Nachweise, die Ihre Prüfer auf Abruf benötigen.
+ Berichterstattung auf Abruf
Sollte ein Paket, auf das Sie angewiesen sind, noch nicht im Katalog enthalten sein, nehmen wir es ohne zusätzliche Kosten in
auf: geprüft, gepatcht und unterstützt wie jedes andere auch.
Entwickelt für Teams, die das Risiko tragen:
Sicherheit und Entwicklung (
) DevSecOps
Komponenten werden bei der Installation geprüft, danach besteht kontinuierlicher Schutz. Keine Lücken während des gesamten Lebenszyklus.
Führungskräfte im Bereich Ingenieurwesen
Keine Änderungen am Arbeitsablauf. Keine erzwungenen Neuprogrammierungen, wenn Abhängigkeiten das Ende ihrer Lebensdauer erreichen.
Compliance-
- und GRC-Lösungen
Integrierte SBOMs, VEX, Herkunftsdaten und Patch-Abdeckung – von Grund auf auditfähig.
Warum TuxCare?
Innovatoren auf der ganzen Welt vertrauen
Häufig gestellte Fragen
Ja. Rust-Crates können während der Kompilierung Code über „build.rs“-Skripte und prozedurale Makros ausführen. Dieser Code wird vor dem Start Ihrer Anwendung ausgeführt und kann unerwartete Aktionen auslösen. SecureChain überprüft den Quellcode von Crates auf Angriffsmuster während der Kompilierung, darunter bösartige „build.rs“-Skripte und prozedurale Makros, und blockiert betroffene Crates, bevor sie in Ihre Toolchain gelangen.
Nicht standardmäßig. crates.io vertreibt Crates, ohne deren Herkunft oder das Build-Verhalten zu überprüfen. SecureChain erstellt Crates aus verifizierten Quellen neu und analysiert sie vor der Verteilung, um ihre Integrität und Sicherheit zu gewährleisten.
Oft größer, als Teams erwarten. Selbst kleine Rust-Projekte können Hunderte von transitiven Crates einbinden. Jedes Crate birgt ein potenzielles Risiko für die Lieferkette. SecureChain sichert den gesamten Abhängigkeitsgraphen und stellt sicher, dass jedes Crate überprüft, gescannt und kontinuierlich gepatcht wird.
Sie benötigen Transparenz und Kontrolle über den gesamten Rust-Abhängigkeitsgraphen. SecureChain überprüft Crates vor ihrer Verwendung, blockiert bösartige Crates und behebt kontinuierlich Sicherheitslücken, wodurch Produktionsteams eine sichere und wartbare Rust-Lieferkette erhalten.
Nein. SecureChain überwacht RustSec-Sicherheitshinweise und CVEs und stellt anschließend validierte Korrekturen bereit, die auf Ihre Abhängigkeiten abgestimmt sind. Dadurch wird der manuelle Überwachungsaufwand und der reaktive Aktualisierungsaufwand reduziert.
Upstream stellt in der Regel nur für die aktuellste Version Patches bereit, sodass für ältere Versionen, die Sie verwenden, möglicherweise keine Sicherheitsupdates mehr bereitgestellt werden. SecureChain sorgt dafür, dass die von Ihnen verwendete Version weiterhin mit Patches versorgt wird, und bietet „Endless Lifecycle Support“, sobald das Produkt das Ende seines Lebenszyklus erreicht hat.
Nein. SecureChain lässt sich nahtlos als Ersatz einsetzen. Entwickler können die Cargo-Befehle und -Workflows ohne Unterbrechung weiterverwenden.
