IBM und Red Hat haben eine Initiative ins Leben gerufen Project Lightwell, in deren Rahmen die Unternehmen planen, 5 Milliarden Dollar in den Schutz von Open-Source-Software und Software-Lieferketten zu investieren. Das Projekt wird als «vertrauenswürdiges Koordinationszentrum» präsentiert, um Schwachstellen in Open-Source-Komponenten, die von Unternehmens-Kunden verwendet werden, zu finden, zu überprüfen und zu beheben.
Der Kern Project Lightwell — die bewährte Red Hat-Unterstützungsmodell für Unternehmens-Open-Source über die eigenen Produkte hinaus auszudehnen. Während das Unternehmen zuvor hauptsächlich Komponenten seiner Plattformen getestet, signiert, bereitgestellt und upstream Patches ausgeliefert hat, soll dieser Ansatz nun auf ein breiteres Spektrum an Abhängigkeiten angewendet werden: unabhängige Bibliotheken, Sprach-Toolchains, KI-Frameworks und Datenstreaming-Plattformen.
Auf Initiative von IBM und Red Hat können Unternehmenskunden Sicherheitsprobleme in bestimmten Versionen der verwendeten Software melden, geprüfte Patches erhalten und diese in ihre bestehenden Build- und Lieferketten integrieren. Red Hat stellt klar, dass die Kunden ihre Build-Tools, einschließlich Artifactory, Nexus oder Maven, an ein sicheres Red Hat-Registry richten können; anschließend wird das Unternehmen die korrigierten Artefakte für die festgelegten Paketversionen scannen, zurückportieren, testen, signieren und liefern.
Project Lightwell wird angeboten als kommerzielle Abonnement. Reuters berichtet unter Berufung auf Rob Thomas, Senior Vice President bei IBM Software, dass der Dienst „in den nächsten 30 Tagen“ kommerziell verfügbar sein sollte und die Preise wahrscheinlich von der Anzahl der verwendeten Pakete abhängen. Laut IBM können Kunden eine Art Bestätigung von der Clearingstelle erhalten, dass ihre Open-Source-Komponenten für die Verwendung in der Produktion sicher sind.
Im Projekt sind mehr als 20.000 Ingenieure beteiligt IBM und Red Hat setzen auf den Einsatz von KI für die umfassende Analyse von Sicherheitsanfälligkeiten, deren Sortierung, Priorisierung und Überprüfung von Patches. Dabei betont Red Hat, dass KI als Werkzeug zur Beschleunigung der Datenerhebung dient, während kritische Entscheidungen in den Händen der Ingenieure bleiben sollten, die den Kontext der upstream-Entwicklung, die Verträglichkeit von Backports und die Verfahren zur verantwortungsvollen Offenlegung von Sicherheitsanfälligkeiten verstehen.
Zu den ersten Teilnehmern des Project Lightwell gehören große Finanzorganisationen, darunter Bank of America, BNY, Citi, Goldman Sachs, JPMorganChase, Mastercard, Morgan Stanley, Royal Bank of Canada, State Street, Visa und Wells Fargo. Bei diesen Implementierungen wollen IBM und Red Hat die Prozesse zur Erkennung, Überprüfung und Behebung von Sicherheitsanfälligkeiten in komplexen Software-Lieferketten optimieren.
Besonders hervorzuheben ist, dass IBM das Ausmaß des Problems deutlich macht: Das Unternehmen verwendet selbst mehr als 62.000 Open-Source-Pakete und gibt an, über umfassende Expertise in mehr als 10.000 davon zu verfügen. Zu den Bereichen, in denen IBM und Red Hat bereits Kompetenzen aufgebaut haben, zählen Linux, Java, Kubernetes, Kafka, Ansible, Terraform, Flink und Cassandra.
Project Lightwell scheint ein Versuch zu sein, die Unterstützung und Überprüfung von Open-Source-Abhängigkeiten in ein separates Unternehmensprodukt zu verwandeln. Für die Community wird die wichtige Frage sein, wie schnell die Korrekturen tatsächlich upstream weitergegeben werden und nicht innerhalb des kostenpflichtigen Rahmens von IBM/Red Hat verbleiben. In der offiziellen Projektbeschreibung verspricht das Unternehmen, gleichzeitig überprüfte Korrekturen an Kunden zu liefern und Patches über ein verantwortungsvolles Offenlegungsverfahren an offene Projekte weiterzuleiten.
Quelle: linux.org.ru
