Фонд OSTIF (Фонд улучшения технологий открытого исходного кода) обяви за сътрудничество с компанията Google, която изрази готовност да финансира независим одит на сигурността на 8 отворени проекта. С получените средства от Google бе решено да се извърши одит на Git, JavaScript библиотеката Lodash, PHP фреймворка Laravel, Java фреймворка Slf4j, JSON библиотеките Jackson (Jackson-core и Jackson-databind) и Java компонентите на Apache Httpcomponents (Httpcomponents-core и Httpcomponents-client).
По-рано с получените от дарения средства фонд OSTIF вече проведе одит на проектите OpenSSL, VeraCrypt, OpenVPN, Monero, Unbound DNS и QRL. Отделно, общността събра средства за одита на PHP фреймворка Symfony. В случай на допълнително финансиране за одит също така са планирани проекти Systemd, Electron, Rails, Dropal, Joomla, WebPack, Reprepro, Ceph, React Native, Salt, Ansible, Angular, Gatsby и Guava.
Изборът беше направен емпирично на база оценка на влиянието на сигурността на проекта върху екосистемата на отвореното ПО и потенциалната полза за общността от увеличената сигурност на разглежданите проекти. За приблизително 100 хиляди проекта на GitHub беше изчислен коефициент, който отчита фактори като популярност при използването като зависимост, търсене в инфраструктурите, брой разработчици, активност на разработката, брой затворени и незатворени бъгове, брой организации, поддържащи проекта, честота на обновленията, история на идентифицирането на уязвимости и др.
Източник: opennet.ru
