Das Projekt Akrites wurde angekündigt, um die Koordination von Schwachstellenbehebungen und die Offenlegung von Verwundbarkeiten in kritischer Open-Source-Software zu unterstützen. Das Projekt wurde unter dem Dach der Linux Foundation mit Beteiligung von Unternehmen wie Amazon Web Services, Anthropic, Cisco, Ericsson, Google, IBM, Microsoft/GitHub, NVIDIA, OpenAI, RapidFort, Red Hat, Sonatype und Vodafone sowie der gemeinnützigen Organisation Rust Foundation ins Leben gerufen.
Die Teilnehmer des Projekts werden finanzielle Mittel, ingenieurtechnische Ressourcen und Fachwissen im Bereich der Cybersicherheit bereitstellen, um ein gemeinsam agierendes Incident Response Team (SIRT) zu bilden. Dieses Team wird sich mit der Identifizierung neuer Schwachstellen, der Analyse und Überprüfung von Schwachstellenberichten, der Bestätigung von Gefährdungsstufen sowie der Entwicklung von Patches in Zusammenarbeit mit den Betreuern offener Projekte und der Koordination des Offenlegungsprozesses befassen. Die Offenlegung von Schwachstellen wird mit der Veröffentlichung von Patches in den Hauptprojekten, Distributionen und abhängigen Produkten synchronisiert.
Es wird darauf hingewiesen, dass früher zur Erstellung von Exploits Expertenwissen und ein längerer Entwicklungsprozess erforderlich waren. Die heutigen Fähigkeiten von KI-Tools ermöglichen es jedoch unqualifizierten Angreifern, innerhalb weniger Stunden einen funktionierenden Exploit zu erstellen, indem sie Informationen über den Patch zur Behebung des Problems nutzen. Wenn die Korrektur für eine Schwachstelle veröffentlicht wird, ohne dass eindeutig auf Sicherheitsprobleme hingewiesen wird, können Benutzer und Entwickler abhängiger Projekte das Update ignorieren, während Angreifer mit Hilfe von KI-Tools schnell einen Exploit vorbereiten und beginnen können, nicht aktualisierte Systeme anzugreifen.
In solchen Situationen ist es entscheidend, Probleme schnell zu beheben, Informationslecks während der Patch-Entwicklung zu verhindern und gleichzeitig mit der Veröffentlichung der Korrektur Informationen über die Schwachstelle bereitzustellen sowie den Nutzern mitzuteilen, dass ein Update erforderlich ist. Separat wird auch an der Information über Schwachstellen bei Betreibern kritischer Infrastrukturen, wichtigen Dienstleistungen und Projekten gearbeitet, da es für die Abwehr potenzieller Angriffe wichtiger ist, nicht nur den Patch zu veröffentlichen, sondern ihn auch umgehend anzuwenden.
Darüber hinaus hat sich das Projekt zum Ziel gesetzt, die Belastung der Betreuer zu reduzieren, indem es Aufgaben wie das Herausfiltern von doppelt eingereichten Problemmeldungen, die Bestätigung von Schwachstellen und die Unterstützung bei der Entwicklung und dem Test von Korrekturen übernimmt.
Bei der Feststellung von Schwachstellen in wichtigen Paketen, die keine aktiven Betreuer haben, wird das Projekt Akrites die Verantwortung für die Vorbereitung und Integration von Korrekturen übernehmen.
Quelle: opennet.ru
