IBM и Red Hat обявиха старта на инициативата Project Lightwell, в която компаниите възнамеряват да инвестират 5 милиарда долара в защита на отворения софтуер и веригите на доставки на софтуер. Проектът е представен като "доверен център за координация" за откриване, проверка и отстраняване на уязвимости в компонентите с отворен код, използвани от корпоративни клиенти.
Същността Project Lightwell — разширяване на познатия за Red Hat модел на поддръжка на корпоративния отворен код извън собствените му продукти. Ако преди компанията тестваше, подписваше, доставяше и изпращаше актуализации главно за компонентите на своите платформи, сега този подход искат да приложат към по-широк набор от зависимости: независими библиотеки, инструментални вериги за езици, AI рамки и платформи за потокова обработка на данни.
Според замисъла на IBM и Red Hat корпоративните клиенти ще могат да съобщават за открити проблеми с безопасността в конкретни версии на използвания софтуер, да получават проверени корекции и да ги интегрират в съществуващите си вериги за изграждане и доставки. Red Hat подчертава, че клиентите ще могат да насочват своите инструменти за изграждане, включително Artifactory, Nexus или Maven, към защитен регистър на Red Hat; след това компанията ще сканира, бэкпортира, тестира, подписва и доставя коригираните артефакти за фиксираните версии на пакетите.
Project Lightwell ще се предлага като комерсиална подписка. Reuters, се позоваваща на старшия вицепрезидент на IBM Software Роб Томас, пише, че услугата трябва да стане комерсиално достъпна "в рамките на следващите 30 дни", а цената вероятно ще зависи от броя на използваните пакети. Според IBM клиентите ще могат да получават вид потвърждение от clearinghouse, че техните компоненти с отворен код са безопасни за използване в production.
В проекта са обявени участието на над 20 хиляди инженери от IBM и Red Hat, а също така и прилагането на ИИ за масов анализ на уязвимости, сортиране, приоритетизиране и проверка на корекции. В същото време Red Hat подчертава, че ИИ се разглежда като инструмент за ускоряване на първоначалната обработка на данни, а критичните решения трябва да останат в ръцете на инженерите, които разбират контекста на upstream разработката, съвместимостта на бэкпорта и процедурите за отговорно разкриване на уязвимости.
Първоначалните участници в Project Lightwell бяха големи финансови организации, включително Bank of America, BNY, Citi, Goldman Sachs, JPMorganChase, Mastercard, Morgan Stanley, Royal Bank of Canada, State Street, Visa и Wells Fargo. При тези внедрения IBM и Red Hat планират да усъвършенстват процесите за откриване, проверка и отстраняване на уязвимости в сложни производствени вериги за доставки на софтуер.
Отделно IBM подчертава мащаба на проблема: компанията сама използва над 62 хиляди open source пакета и заявява, че има дълбока експертиза в повече от 10 хиляди от тях. Като примери за области, където IBM и Red Hat вече имат натрупана компетенция, се посочват Linux, Java, Kubernetes, Kafka, Ansible, Terraform, Flink и Cassandra.
Фактически Project Lightwell изглежда като опит да се превърне поддръжката и проверката на зависимостите от open source в отделен корпоративен продукт. За общността важен въпрос ще бъде колко бързо наистина ще бъдат изпращани корекциите към upstream, а не да остават в платеното направление на IBM/Red Hat. В официалното описание на проекта компаниите обещават едновременно да предоставят проверени корекции на клиентите и да предават пачове на отворени проекти чрез процедура за отговорно разкритие.
Източник: linux.org.ru
