Fond OSTIF (Open Source Technology Improvement Fund), založený s cílem posílit zabezpečení otevřených projektů, oznámil spolupráci se společností Google, která vyjádřila ochotu financovat nezávislý audit bezpečnosti 8 otevřených projektů. Prostředky získané od společnosti Google budou použity k provedení auditu Git, JavaScriptové knihovny Lodash, PHP frameworku Laravel, Java frameworku Slf4j, JSON knihoven Jackson (Jackson-core a Jackson-databind) a Java komponent Apache Httpcomponents (Httpcomponents-core a Httpcomponents-client).
Dříve fond OSTIF provedl audit projektů OpenSSL, VeraCrypt, OpenVPN, Monero, Unbound DNS a QRL s prostředky získanými z darů. Komunita již také vybrala prostředky na audit PHP frameworku Symfony. V případě získání dodatečného financování jsou plánovány také projekty Systemd, Electron, Rails, Drupal, Joomla, WebPack, Reprepro, Ceph, React Native, Salt, Ansible, Angular, Gatsby a Guava.
Výběr byl proveden empiricky na základě hodnocení vlivu bezpečnosti projektu na ekosystém otevřeného softwaru a potenciálního přínosu pro komunitu ze zvýšení bezpečnosti zvažovaných projektů. Pro přibližně 100 tisíc projektů na GitHubu byl vypočítán koeficient, který zohledňuje faktory jako je popularita využívání jako závislost, poptávka v infrastrukturách, počet vývojářů, aktivita vývoje, počet uzavřených a neuzavřených chybových hlášení, počet organizací podporujících projekt, frekvence vydávání aktualizací, historie odhalování zranitelností atd.
Zdroj: opennet.ru
