SBoM – Vom App Inventory zum Vulnerability Handling

Was ist eigentlich in der eigenen App so alles drin? Und was bedeutet es für mich, wenn in meiner App Third-Party-Komponenten enthalten sind?

Diese beiden Fragen sollte heutzutage eigentlich jeder Entwickler von mobilen Apps im Schlaf beantworten können. Doch leider sehen wir im Rahmen von Pentests immer wieder, dass dies nicht der Fall ist und das Thema Software Bill of Material (SBoM) und dessen Einfluss auf die internen Prozesse sehr stiefmütterlich behandelt werden.

Dabei ist eine detaillierte Auflistung der Softwarekomponenten in jedem softwarebasierten Produkt notwendig, um mögliche Lizenzverstöße, aber vor Allem auch Schwachstellen zu identifizieren und letztlich dazu beizutragen, die Sicherheitsrisiken für den Herausgeber der Software zu reduzieren. Dies gilt nicht nur für aufwendige und komplexe Software im herkömmlichen Sinne, sondern auch für mobile Apps.

Lernziele

Im Rahmen dieses Vortrags zeigen wir, wie man die SBoM in seinen Entwicklungsprozess integrieren kann und wie man sie richtig nutzt, wenn es um das Thema Vulnerability Handling geht.