Fond OpenSSF (Open Source Security Foundation) představil projekt Alpha-Omega, který je zaměřen na zajištění bezpečnosti otevřeného softwaru. Počáteční investice ve výši 5 milionů dolarů a personál pro spuštění této iniciativy poskytnou společnosti Google a Microsoft. Další organizace jsou také zvány k účasti, a to jak prostřednictvím poskytování inženýrských pracovníků, tak na úrovni financování, což pomůže rozšířit počet otevřených projektů, na které se iniciativa vztahuje. Kromě toho bylo na práci Fondu OpenSSF na konci loňského roku vyčleněno 10 milionů dolarů, zda budou tyto prostředky použity pro iniciativu Alpha-Omega, není upřesněno.
Projekt Alpha-Omega se skládá ze dvou částí:
- Část Alpha zahrnuje provádění ručního auditu bezpečnosti 200 široce používaných otevřených projektů, které jsou nejpopulárnější z hlediska jejich použití v podobě závislostí nebo v prvcích infrastruktury. Práce bude probíhat ve spolupráci s odpovědnými osobami a bude zahrnovat systematickou analýzu kódu za účelem odhalení nových zranitelností a jejich okamžitého opravení.
- Část Omega se zaměřuje na provádění automatizovaného testování 10 000 nejpopulárnějších otevřených projektů. Pro provádění testování, zlepšování používaných metod, analýzu výsledků zkoušek, předávání informací vývojářům projektů a koordinaci spolupráce na odstranění kritických problémů bude vytvořen samostatný tým inženýrů. Hlavním úkolem tohoto týmu bude odstraňování falešných pozitivních výsledků a odhalování skutečných zranitelností v automatizovaných zprávách.
Nutnost ručního auditu ve fázi Alpha je dána potřebou odhalení skrytých problémů, které je obtížné zjistit během automatizovaného testování. Jako příklad takových problémů jsou zmíněny nedávné kritické zranitelnosti v Log4j, které ohrozily infrastruktury mnoha velkých společností. Projekty pro audit budou vybírány na základě doporučení odborné komunity a dat z dříve vytvořených žebříčků Critically Score a Census.
Připomínáme, že Fund OpenSSF byl založen pod záštitou organizace Linux Foundation a soustředí se na práci v oblastech, jako je koordinované zveřejňování informací o zranitelnostech, šíření oprav, vývoj nástrojů pro zajištění bezpečnosti, publikace nejlepších praktik pro bezpečné organizování vývoje, identifikaci souvisejících bezpečnostních hrozeb v otevřeném softwaru, provádění auditů a zvyšování bezpečnosti kriticky důležitých otevřených projektů, vytvoření prostředků pro ověřování identity vývojářů. OpenSSF pokračuje v rozvoji takových iniciativ, jako je Core Infrastructure Initiative a Open Source Security Coalition, a také sdružuje další související bezpečnostní činnosti, které podnikají připojené společnosti. Mezi zakládající společnosti OpenSSF patří Google, Microsoft, Amazon, Cisco, Dell Technologies, Ericsson, Facebook, Fidelity, GitHub, IBM, Intel, JPMorgan Chase, Morgan Stanley, Oracle, Red Hat, Snyk a VMware.
Zdroj: opennet.ru
