OSTIF (Open Source Technology Improvement Fund) har indgået et samarbejde med Google for at styrke sikkerheden i åbne projekter. Google er villig til at finansiere en uafhængig sikkerhedsaudit af 8 åbne projekter. De midler, der er modtaget fra Google, vil blive brugt til at udføre en audit af Git, JavaScript-biblioteket Lodash, PHP-rammeværket Laravel, Java-rammeværket Slf4j, JSON-bibliotekerne Jackson (Jackson-core og Jackson-databind) samt Java-komponenterne i Apache Httpcomponents (Httpcomponents-core og Httpcomponents-client).
Tidligere har OSTIF ved hjælp af indsamlede donationer gennemført en audit af projekterne OpenSSL, VeraCrypt, OpenVPN, Monero, Unbound DNS og QRL. Der er også indsamlet midler specifikt til en audit af PHP-rammeværket Symfony. Hvis der opnås ekstra finansiering til audits, er der også planlagt projekter som Systemd, Electron, Rails, Drupal, Joomla, WebPack, Reprepro, Ceph, React Native, Salt, Ansible, Angular, Gatsby og Guava.
Valget er blevet foretaget empirisk baseret på en vurdering af, hvordan projektets sikkerhed påvirker økosystemet for åbent kildekode software og den potentielle gevinst for samfundet fra den øgede sikkerhed i de relevante projekter. For cirka 100.000 projekter på GitHub er der beregnet en koefficient, der tager højde for faktorer såsom populariteten af brugen som afhængighed, efterspørgslen i infrastrukturer, antallet af udviklere, aktiviteten i udviklingen, antallet af lukkede og åbne fejlrapporter, antallet af organisationer, der støtter projektet, hyppigheden af opdateringer, historien om identificerede sårbarheder osv.
Kilde: opennet.ru
