Фонд OpenSSF (Open Source Security Foundation) представи проект Alpha-Omega, насочен към повишаване на сигурността на открития софтуер. Началните инвестиции за развитието на проекта в размер на 5 милиона долара и екип за стартиране на инициативата ще осигурят компаниите Google и Microsoft. Други организации също са поканени да се включат, както чрез предоставяне на инженерни кадри, така и на ниво финансиране, което ще помогне за разширяване на броя на откритите проекти, на които инициативата ще се разпростре. Освен това, в края на миналата година на работата на Фонда OpenSSF бяха отпуснати 10 милиона долара, но не е уточнено дали тези средства ще бъдат използвани за инициативата Alpha-Omega.
Проектът Alpha-Omega се състои от две части:
- Част Alpha предвижда провеждане на ръчен одит на сигурността на 200 широко използвани открити проекта, най-популярните от които се използват като зависимости или в инфраструктурни елементи. Работата ще бъде извършвана в сътрудничество с поддържащите и ще включва систематичен анализ на кода за откриване на нови уязвимости и тяхното бързо отстраняване.
- Част Omega е фокусирана върху провеждане на автоматизирано тестване на 10 хиляди от най-популярните открити проекти. За провеждането на тестовете, подобряване на прилаганите методи, анализ на резултатите от проверките, информиране на разработчиците на проектите и координация на съвместната работа по отстраняване на критични проблеми ще бъде създаден отделен екип инженери. Основната задача на този екип ще бъде отстраняването на фалшиви сработвания и откритие на реални уязвимости в автоматизираните отчети.
Необходимостта от ръчен одит на етап Alpha е продиктувана от нуждата от откриване на скрити проблеми, които трудно могат да бъдат идентифицирани в хода на автоматизираното тестване. Като пример за такива проблеми се споменават наскоро откритите критични уязвимости в Log4j, които поставиха под заплаха инфраструктурите на редица крупни компании. Проектите за одит ще бъдат избрани с оглед на препоръките на експертната общност и данните от предварително изготвени рейтинги Critically Score и Census.
Напомняме, че Фондът OpenSSF е създаден под егидата на организацията Linux Foundation и се фокусира върху работа в области като координирано разкриване на уязвимости, разпространение на корекции, разработване на инструменти за сигурност, публикуване на най-добри практики за безопасна разработка, идентифициране на заплахи, свързани с безопасността в отворен софтуер, провеждане на одити и усилване на сигурността на критично важни отворени проекти, създаване на средства за проверка на идентичността на разработчиците. OpenSSF продължава развитието на инициативи като Core Infrastructure Initiative и Open Source Security Coalition и обединява и други свързани с безопасността инициативи, предприети от компаниите, присъединили се към проекта. Сред учредителите на OpenSSF са Google, Microsoft, Amazon, Cisco, Dell Technologies, Ericsson, Facebook, Fidelity, GitHub, IBM, Intel, JPMorgan Chase, Morgan Stanley, Oracle, Red Hat, Snyk и VMware.
Източник: opennet.ru
