// HEISE ONLINE — CYBERSECURITY
Zu junge Pakete müssen draußen bleiben: Rust schützt die Lieferkette
Mehr Sicherheit für die Lieferkette: Das Rust-Projekt lässt Entwickler optional auf die Cargo-Bremse treten. Zu junge Pakete weist Cargo ab.
Rust-Version 1.100, die am 12. November erscheinen soll, führt eine optionale Cooldown-Phase für Cargo-Abhängigkeiten ein. Das soll verhindern, dass Projekte sich frisch mit Malware verseuchte Pakete ins System holen.
Schadcode, der sich in Paketabhängigkeiten versteckt, hat oft nur eine kurze Lebensdauer von Minuten oder Stunden. Der Entwurf für Version 1.100 von Rust sieht deshalb die Cooldown-Bremse vor, mit der Cargo ganz junge Pakete von Abhängigkeiten nicht installiert. Den zeitlichen Abstand können die Anwenderinnen und Anwender selbst wählen.
Die neue Funktion heißt Minimum Publish Age und tritt bei Versionsauflösungen in Aktion. Zu junge Versionen ignoriert der Resolver, sofern sie nicht schon in Cargo.lock stehen. Stattdessen wählt er eine ältere, ausreichend alte Version desselben Pakets. Gibt es keine passende, bricht die Auflösung mit einem Fehler ab. Erst bei der nächsten Versionsauflösung findet eine erneute Prüfung statt.
Standardmäßig ist kein Mindestalter gesetzt, sodass Anwender die Bremse manuell in .cargo/config.toml eintragen müssen: global-min-publish-age = "7 days". Cargo meldet dann die Pakete, die es ausgelassen hat, und ob es dadurch Probleme mit anderen Abhängigkeiten gibt. Admins können kritische Updates auch gezielt sofort durchlassen:
$ CARGO_RESOLVER_INCOMPATIBLE_PUBLISH_AGE=allow cargo update -p foo
Immer wieder kommt es zu Lieferkettenangriffen, auch das als sehr sicher geltende Rust ist davon nicht verschont. Angreifer laden Pakete mit Schadcode in Repositories oder kompromittieren vorhandene. Hat ein Projekt ein solches Paket eingebunden und installiert automatisch Updates, holt es den Schadcode unvermittelt in die eigene Anwendung.
montags und donnerstags - alles von heise developer
Ausführliche Informationen zum Versandverfahren und zu Ihren
Widerrufsmöglichkeiten erhalten Sie in unserer
Datenschutzerklärung.
Immer informiert bleiben: Klicken Sie auf das Plus-Symbol an einem Thema, um diesem zu folgen. Wir zeigen Ihnen alle neuen Inhalte zu Ihren Themen.
Mehr erfahren.