OpenSSF-fonden (Open Source Security Foundation) har præsenteret projektet Alpha-Omega, der har til formål at forbedre sikkerheden for open source-software. De indledende investeringer på 5 millioner dollars til udviklingen af projektet samt personale til at starte initiativet vil blive leveret af Google og Microsoft. Andre organisationer inviteres også til at deltage, enten ved at stille ingeniørfolk til rådighed eller på finansieringsniveau, hvilket vil bidrage til at udvide antallet af åbne projekter, som initiativet vil dække. Derudover blev der i slutningen af sidste år tildelt 10 millioner dollars til OpenSSF-fondens arbejde; det er uklart, om disse midler vil blive anvendt til Alpha-Omega-tiltaget.
Alpha-Omega-projektet består af to dele:
- Del Alpha indebærer en manuel sikkerhedsrevision af 200 meget anvendte åbne projekter, de mest populære i forhold til deres brug som afhængigheder eller i infrastrukturkomponenter. Arbejdet vil blive udført i samarbejde med vedligeholdere og vil omfatte en systematisk analyse af koden for at identificere nye sårbarheder og deres hurtige udbedring.
- Del Omega fokuserer på at udføre automatiserede tests af de 10.000 mest populære åbne projekter. For at udføre testene, forbedre de anvendte metoder, analysere testresultater, overbringe oplysninger til udviklerne af projekterne og koordinere det fælles arbejde med at løse kritiske problemer vil der blive oprettet et separat team af ingeniører. Teamets hovedopgave vil være at filtrere falske positiver og identificere reelle sårbarheder i de automatiserede rapporter.
Behovet for en manuel revision i Alpha-fasen skyldes nødvendigheden af at identificere skjulte problemer, som er vanskelige at opdage under automatiserede tests. Et eksempel på sådanne problemer er de nylige kritiske sårbarheder i Log4j, der har sat infrastrukturen for mange store virksomheder på spil. Projekterne til revision vil blive udvalgt med hensyn til anbefalinger fra ekspertmiljøet og data fra tidligere udarbejdede ranglister, Critically Score og Census.
Vi minder om, at OpenSSF-fonden er oprettet under ledelse af Linux Foundation og fokuserer på områder som koordineret sårbarhedsoffentliggørelse, udbredelse af rettelser, udvikling af sikkerhedsværktøjer, offentliggørelse af bedste praksis for sikker udvikling, identificering af sikkerhedsrelaterede trusler i open source-software, udførelse af revisioner og styrkelse af sikkerheden for kritisk vigtige open source-projekter samt oprettelse af midler til verifikation af udvikleres identitet. OpenSSF fortsætter med at udvikle initiativer såsom Core Infrastructure Initiative og Open Source Security Coalition og samle andre relaterede sikkerhedsarbejder, der udføres af deltagende virksomheder. Blandt grundlæggerne af OpenSSF er Google, Microsoft, Amazon, Cisco, Dell Technologies, Ericsson, Facebook, Fidelity, GitHub, IBM, Intel, JPMorgan Chase, Morgan Stanley, Oracle, Red Hat, Snyk og VMware.
Kilde: opennet.ru
