Projektet Akrites er blevet annonceret for koordinering af reparation af sårbarheder og offentliggørelse af sårbarheder i kritisk vigtig open source-software. Projektet er skabt under Linux Foundation med deltagelse af virksomheder som Amazon Web Services, Anthropic, Cisco, Ericsson, Google, IBM, Microsoft/GitHub, NVIDIA, OpenAI, RapidFort, Red Hat, Sonatype og Vodafone, samt den non-profit organisation Rust Foundation.
Deltagerne i projektet vil bidrage med finansiering, ingeniørressourcer og ekspertise inden for cybersikkerhed for at danne et samarbejdsteam af sikkerhedshændelsesrespons (SIRT, Security Incident Response Team). Det dannede team vil arbejde med at identificere nye sårbarheder, analysere og verificere rapporter om sårbarheder, bekræfte kritikalitetsniveauet, udvikle rettelser i samarbejde med vedligeholdere af open source-projekter og koordinere offentliggørelsesprocessen for sårbarheder. Offentliggørelsen af sårbarheder vil blive synkroniseret med udgivelsen af rettelser i de primære projekter, distributioner og afhængige produkter.
Det bemærkes, at hvis det tidligere krævede ekspertkendskab og en lang udviklingsproces at fremstille exploits, så gør moderne AI-værktøjer det muligt for uerfarne angribere at skabe en fungerende exploit på få timer ved at bruge oplysninger om en patch, der løser problemet. Hvis en rettelse for en sårbarhed udgives uden tydelig offentliggørelse af forbindelsen til sikkerhedsproblemer, kan brugere og udviklere af afhængige projekter ignorere opdateringen, og angribere kan hurtigt forberede en exploit ved hjælp af AI-værktøjer for at begynde at angribe uopdaterede systemer.
I sådanne forhold bliver det vigtigt at hurtigt løse problemet, undgå informationslækager under udviklingen af patches, samtidig med at offentliggørelsen af rettelserne bliver ledsaget af oplysninger om sårbarheden, samt at informere brugerne om nødvendigheden af at installere opdateringen. Der vil også blive arbejdet særskilt med at informere om sårbarheder blandt operatører af kritisk infrastruktur, vigtige tjenester og projekter, da det ikke kun er offentliggørelsen af patchen, men også dens hurtige anvendelse, der er vigtig for at blokere potentielle angreb.
Derudover har projektet som mål at lette byrden for vedligeholdere ved at påtage sig opgaver som filtrering af dobbeltproblemer, bekræftelse af eksistensen af sårbarheder og støtte til udvikling og test af rettelser.
Når der opdages sårbarheder i vitale pakker uden aktive vedligeholdere, vil Akrites-projektet tage sig af forberedelse og integration af rettelser i disse pakker.
Kilde: opennet.ru
