IBM a Red Hat oznámily zahájení iniciativy Project Lightwell, v rámci které mají společnosti investovat 5 miliard dolarů do ochrany open source softwaru a dodavatelských řetězců SW. Projekt je představen jako "důvěryhodné středisko koordinace" pro hledání, ověřování a opravu zranitelností v open source komponentách používaných firemními zákazníky.
Podstata Project Lightwell — rozšířit běžný model podpory firemního open source Red Hat mimo vlastní produkty. Zatímco společnost dříve testovala, podepisovala, dodávala a posílala opravy upstream převážně pro komponenty svých platforem, nyní by tento přístup chtěli aplikovat na širší spektrum závislostí: nezávislé knihovny, jazykové toolchainy, AI frameworky a platformy pro zpracování dat v reálném čase.
Podle plánu IBM a Red Hat budou mít firemní zákazníci možnost hlásit nalezené bezpečnostní problémy ve specifických verzích používaného SW, získávat ověřené opravy a začleňovat je do svých stávajících build a dodavatelských řetězců. Red Hat dodává, že zákazníci budou moci nasměrovat své build nástroje, včetně Artifactory, Nexus nebo Maven, na zabezpečený registr Red Hat; poté společnost skenuje, backportuje, testuje, podepisuje a dodává opravené artefakty pro zamčené verze balíčků.
Project Lightwell bude nabízen jako komerční subskripce. Reuters s odvoláním na senior viceprezidenta IBM Software Roba Thomase uvádí, že služba by měla být komerčně dostupná "v průběhu příštích 30 dní", a cena pravděpodobně bude záviset na počtu používaných balíčků. Podle IBM budou mít zákazníci možnost obdržet jakýsi potvrzující dokument od clearinghouse, že jejich open source komponenty jsou bezpečné pro použití v produkci.
V projektu se uvádí účast více než 20 tisíc inženýrů IBM a Red Hat, a také využití AI pro masovou analýzu zranitelností, třídění, prioritizaci a ověřování opravy. Přitom Red Hat zdůrazňuje, že AI bude chápáno jako nástroj pro urychlení primárního zpracování dat, zatímco kritická rozhodnutí by měla zůstat na inženýrech, kteří rozumí kontextu upstream vývoje, kompatibilitě backportů a postupům odpovědného zveřejňování zranitelností.
Prvními účastníky projektu Project Lightwell se staly velké finanční instituce, včetně Bank of America, BNY, Citi, Goldman Sachs, JPMorganChase, Mastercard, Morgan Stanley, Royal Bank of Canada, State Street, Visa a Wells Fargo. Při těchto implementacích plánují IBM a Red Hat testovat procesy identifikace, ověřování a odstranění zranitelností v komplexních dodavatelských řetězcích softwaru.
IBM zvlášť zdůrazňuje rozsah problému: společnost sama využívá přes 62 tisíc open source balíčků a uvádí hlubokou odbornost ve více než 10 tisících z nich. Mezi příklady oblastí, kde má IBM a Red Hat již nasbírané zkušenosti, patří Linux, Java, Kubernetes, Kafka, Ansible, Terraform, Flink a Cassandra.
Projekt Lightwell v podstatě vypadá jako pokus převést správu a kontrolu open source závislostí na samostatný firemní produkt. Pro komunitu bude důležitou otázkou, jak rychle se opravy skutečně dostanou zpět do upstreamu, a nevydrží uvnitř placeného okruhu IBM/Red Hat. V oficiálním popisu projektu společnosti slibují, že budou zároveň poskytovat ověřené opravy klientům a předávat patche do otevřených projektů prostřednictvím procesu zodpovědného zveřejnění.
Zdroj: linux.org.ru
