Sicherheit in Qt

Die Sicherheit von Qt basiert auf der Infrastruktur, die von der Qt Group und dem Qt Project geschaffen und gepflegt wird. Diese Infrastruktur umfasst die Entwicklungs-, Test- und Build-Umgebungen. So gibt es beispielsweise einen etablierten Code-Review-Prozess, einen Testprozess unter Verwendung statischer Analysatoren und Fuzzing-Tools, Tests von Komponenten von Drittanbietern sowie weitere Antiviren-Tests für jede Veröffentlichung. Qt verfügt zudem über einen etablierten Prozess zum Umgang mit Sicherheitslücken.

Die Sicherheit einer Anwendung oder eines Geräts, das Qt nutzt, liegt in der gemeinsamen Verantwortung der Anwendungsentwickler, der Qt Group und des Qt-Projekts als Anbieter des Qt-Frameworks sowie der Betreiber oder Gerätehersteller. Einen Überblick über die jeweiligen Pflichten und Zuständigkeiten finden Sie unter „Gemeinsames Sicherheitsmodell von Qt“.

Sicherheitsrichtlinie des Qt-Projekts

Das Qt-Projekt legt seine Sicherheitsrichtlinie in QUIP 15 fest. Eine Zusammenfassung der Sicherheitsrichtlinie:

• Qt verfügt über ein Core Security Team, das die Sicherheitsrichtlinie durchsetzt und Probleme behebt.
• Proaktive Maßnahmen zur Vermeidung von Sicherheitsproblemen – Code-Reviews, Code-Analysen, Fuzz-Tests usw.
• Meldung von Sicherheitsproblemen: Das Qt Core Security Team überwacht Sicherheitsprobleme bei Qt-Modulen und betroffenen Komponenten von Drittanbietern.
• Umgang mit Sicherheitsproblemen: Die Betreuer, das Kern-Sicherheitsteam, der Chefbetreuer und die Qt-Gruppe tauschen sich über Sicherheitsprobleme aus und bearbeiten diese gemeinsam.
• Offenlegung bestätigter Sicherheitsprobleme in der „Common Vulnerabilities and Exposures“-Datenbank und öffentliche Bekanntgabe über die Qt-announce@qt-project.org -Mailingliste.

  Sie können die Mailingliste abonnieren, indem Sie die Informationsseite zu den Mailinglisten des Qt-Projekts besuchen.

Meldung von Sicherheitsproblemen

Melden Sie Sicherheitslücken im Open-Source-Qt an security@qt-project.org. Bei kommerziellen Produkten der Qt Group können Sie sich auch an psirt@qt.io wenden.

Die Richtlinie der Qt Group zur koordinierten Offenlegung von Sicherheitslücken beschreibt die verfügbaren Meldewege, die Verpflichtungen der Qt Group und des Qt-Projekts gegenüber Forschern, die Sicherheitslücken verantwortungsbewusst melden, sowie die Reaktions- und Offenlegungsfristen.

Qt verfügt derzeit über kein Bug-Bounty-Programm.

Qt-Sicherheitslücken

Wenn technische Experten ein Sicherheitsproblem in einem der Qt-Produkte bestätigen, wird ein Eintrag in der „Common Vulnerabilities and Exposures“-Datenbank (CVE) angelegt. Ein CVE besteht aus einer ID und einer Beschreibung. Im Laufe der Zeit werden weitere Metadaten hinzugefügt.

Für Qt-Produkte verwaltet The Qt Company als zuständige CVE-Nummerierungsbehörde (CNA) den Prozess der CVE-Erstellung. Das Unternehmen listet neue CVEs in der „Liste bekannter Sicherheitslücken in Qt-Produkten“ auf und trägt zudem zur zentralen CVE-Datenbank bei.

Um von einer Sicherheitslücke betroffene Produkte eindeutig zu identifizieren, enthalten CVEs Einträge im „Common Platform Enumeration “-Format (CPE). Bei Problemen im Qt-Framework lauten die Angaben zu Anbieter und Produkt in einem solchen CPE „ qt:qt “. Ein hypothetischer CVE, der beispielsweise Qt 6.12.0 betrifft, hätte folgendes CPE:

cpe:2.3:a:qt:qt:6.12.0:*:*:*:*:*:*:*

Software-Stückliste (SBOM)

Ab Qt 6.8 enthält die Qt-Installation Software-Bill-of-Materials-Dokumente (SBOM), die Informationen zu installierten Qt-Modulen, Paketen und Komponenten von Drittanbietern im SPDX-Format enthalten. Seit Qt 6.11 sind die SBOM-Dokumente auch im CycloneDX-Format verfügbar. Verwenden Sie die Dokumente in einem dieser Formate, um installierte Qt-Pakete im Hinblick auf Schwachstellenmanagement und Lizenzkonformität nachzuverfolgen.

• Software-Stückliste
• Übersicht über das SPDX-Format
• Übersicht über die CycloneDX-Spezifikation

Nicht vertrauenswürdige Daten

Mehrere Qt-Module verarbeiten Daten wie Benutzereingaben und ausführbare Ressourcen. Qt erwartet von Anwendungsentwicklern, dass sie nicht vertrauenswürdige Daten angemessen behandeln. Wenn eine Qt-API nicht vertrauenswürdige Daten abruft und verarbeitet, bevor die Anwendung die Verarbeitung vornehmen kann, stuft Qt diese API als sicherheitskritisch ein. Sicherheitskritische APIs werden während der Entwicklung einer zusätzlichen Prüfung und Testung unterzogen.

Vermeiden Sie generell nach Möglichkeit unverarbeitete Daten aus unbekannten Quellen und führen Sie beim Umgang mit Daten Sicherheitsmaßnahmen durch. Qt bietet verschiedene Mechanismen zur Datenverarbeitung, beispielsweise Validatoren für Benutzereingaben.

Weitere Informationen finden Sie unter „Umgang mit nicht vertrauenswürdigen Daten“.

Entwicklerwerkzeuge

Das Qt-Framework enthält Entwicklertools, die während der Erstellung einer Qt-Anwendung auf Ihrem Build-Rechner ausgeführt werden, wie beispielsweise „Meta-Object Compiler “ (moc), „Resource Compiler “ (rcc) sowie die verschiedenen Code- und Asset-Generatoren. Diese Tools behandeln das von ihnen verarbeitete Projekt als vertrauenswürdige Eingabe und stellen keine Sicherheitsgrenze dar. Das Erstellen eines Projekts, dem Sie nicht vertrauen, kann daher zur Ausführung von Code auf Ihrem Build-Rechner führen.

Weitere Informationen finden Sie unter „Sichere Verwendung der Qt-Entwicklertools“.

Berechtigungen

Qt 6.5 führt eine plattformübergreifende Berechtigungs-API zur Verwaltung von Berechtigungen ein. Die Berechtigungs-API dient der Verwaltung benutzerbezogener privater Daten und Hardware wie Kontaktlisten, Kalender, Kamera und Mikrofon.

Weitere Informationen finden Sie unter „Anwendungsberechtigungen“.

Erweiterte Sicherheitswartung

Wir sind uns bewusst, dass der Lebenszyklus Ihres Produkts möglicherweise länger ist als unser üblicher Supportzeitraum für eine bestimmte Qt-Version. Wir bieten nun Wartungsdienste für Kunden mit einer Qt-Version an, deren Support abgelaufen ist (End-of-Support, EoS).

Der Abonnementdienst „Extended Security Maintenance“ (ESM) bietet Ihnen nach Ablauf des Supports (EoS) Zugriff auf CVS-Wartungspatches (Critical Vulnerability and Security) für Qt-Bibliotheken ausgewählter Long-Term-Support-Versionen (LTS).

Der ESM-Service ist für die folgenden Versionen verfügbar:

Weitere Informationen finden Sie unter Qt-Support.