IBM og Red Hat har annonceret lanceringen af initiativet Project Lightwell, hvor virksomhederne har til hensigt at investere 5 milliarder dollars i beskyttelse af open source-software og softwareforsyningskæder. Projektet præsenteres som et "betroet koordineringscenter" til at identificere, verificere og rette sårbarheder i open source-komponenter, der anvendes af virksomhedskunder.
Essensen Project Lightwell — at udbrede den velkendte Red Hat-mod model for støtte af virksomhedens open source ud over egne produkter. Tidligere testede, godkendte, distribuerede og sendte virksomheden rettelser upstream primært for komponenter i sine platforme, men nu ønsker man at anvende denne tilgang på et bredere sæt afhængigheder: uafhængige biblioteker, sprogtoolchains, AI-rammer og platforme til databehandling.
Ifølge IBM og Red Hat vil virksomhedskunder kunne rapportere om identificerede sikkerhedsproblemer i specifikke versioner af den anvendte software, modtage verificerede rettelser og integrere dem i deres eksisterende bygge- og distributionskæder. Red Hat fremhæver, at kunderne vil kunne pege deres build-værktøjer, inklusive Artifactory, Nexus eller Maven, mod et sikkert register fra Red Hat; herefter vil virksomheden scanne, backporte, teste, godkende og levere de rettede artefakter til fastlagte versioner af pakkerne.
Project Lightwell vil blive tilbudt som et kommercielt abonnement. Reuters henviser til senior vice president for IBM Software, Rob Thomas, der skriver, at tjenesten burde blive kommercielt tilgængelig "inden for de næste 30 dage", og at prisen sandsynligvis vil afhænge af antallet af anvendte pakker. Ifølge IBM vil kunderne kunne få en form for bekræftelse fra clearinghouse om, at deres open source-komponenter er sikre at bruge i produktion.
Projektet har tilkendegivet deltagelse af mere end 20.000 ingeniører fra IBM og Red Hat samt anvendelse af AI til masseanalyse af sårbarheder, sortering, prioritering og verificering af rettelser. Samtidig understreger Red Hat, at AI betragtes som et værktøj til at fremskynde den indledende databehandling, mens kritiske beslutninger skal forblive hos ingeniører, der forstår konteksten af upstream-udvikling, kompatibilitet af backports og ansvarlig sårbarhedsafsløring.
De første deltagere i Project Lightwell var store finansielle institutioner, herunder Bank of America, BNY, Citi, Goldman Sachs, JPMorganChase, Mastercard, Morgan Stanley, Royal Bank of Canada, State Street, Visa og Wells Fargo. I disse implementeringer ønsker IBM og Red Hat at arbejde med processerne til at identificere, verificere og afhjælpe sårbarheder i komplekse softwareforsyningskæder.
IBM understreger særligt omfanget af problemet: virksomheden bruger selv over 62.000 open source-pakker og hævder at have dyb ekspertise inden for mere end 10.000 af dem. Eksempler på områder, hvor IBM og Red Hat allerede har opbygget kompetence, inkluderer Linux, Java, Kubernetes, Kafka, Ansible, Terraform, Flink og Cassandra.
Faktisk fremstår Project Lightwell som et forsøg på at gøre vedligeholdelse og kontrol af open source-afhængigheder til et separat kommercielt produkt. For samfundet bliver et vigtigt spørgsmål, hvor hurtigt rettelserne faktisk vil blive sendt upstream, og ikke forblive inden for IBM/Red Hats betalingskreds. I den officielle beskrivelse af projektet lover virksomhederne at levere verificerede rettelser til kunderne og videregive patches til åbne projekter gennem en ansvarlig offentliggørelsesprocedure.
Kilde: linux.org.ru
