IBM und Red Hat haben die Initiative Project Lightwellins Leben gerufen, im Rahmen derer die Unternehmen beabsichtigen, 5 Milliarden Dollar in den Schutz von Open-Source-Software und Softwarelieferketten zu investieren. Das Projekt wird als "vertrauenswürdiges Koordinationszentrum" vorgestellt, um Schwachstellen in Open-Source-Komponenten, die von Unternehmensmandanten genutzt werden, zu suchen, zu überprüfen und zu beheben.
Essenz Project Lightwell — das gewohnte Modell der Red Hat-Unterstützung für Unternehmens-Open-Source über die eigenen Produkte hinaus auszudehnen. Während das Unternehmen zuvor hauptsächlich Komponenten seiner Plattformen getestet, signiert, bereitgestellt und Upstream-Fehlerbehebungen bereitgestellt hat, soll dieser Ansatz nun auf ein breiteres Spektrum an Abhängigkeiten angewendet werden: unabhängige Bibliotheken, Sprach-Toolchains, KI-Frameworks und Plattformen für die Datenstromverarbeitung.
Nach dem Konzept von IBM und Red Hat sollen Unternehmensmandanten Sicherheitsprobleme in bestimmten Versionen der verwendeten Software melden, geprüfte Patches erhalten und diese in ihre bestehenden Build- und Lieferketten integrieren können. Red Hat weist gesondert darauf hin, dass Kunden ihre Build-Tools, einschließlich Artifactory, Nexus oder Maven, auf das geschützte Red Hat-Registry ausrichten können; danach wird das Unternehmen Patches für festgelegte Paketversionen scannen, zurückportieren, testen, signieren und bereitstellen.
Project Lightwell wird als kommerzielles Abonnement. angeboten , schreibt Reuters unter Berufung auf Rob Thomas, Senior Vice President IBM Software, dass der Dienst "innerhalb der nächsten 30 Tage" kommerziell verfügbar sein sollte und der Preis wahrscheinlich von der Anzahl der verwendeten Pakete abhängt. Laut IBM werden Kunden eine Art Bestätigung von der Clearingstelle erhalten, dass ihre Open-Source-Komponenten sicher im Betrieb sind.
Das Projekt umfasst die Beteiligung von mehr als 20.000 Ingenieuren von IBM und Red Hat sowie den Einsatz von KI zur umfassenden Analyse von Schwachstellen, zur Sortierung, Priorisierung und Validierung von Patches. Dabei hebt Red Hat hervor, dass KI als Werkzeug zur Beschleunigung der Erstbearbeitung von Daten betrachtet wird, während kritische Entscheidungen bei den Ingenieuren liegen sollten, die den Kontext der Upstream-Entwicklung, die Kompatibilität von Backports und die Verfahren zur verantwortungsvollen Offenlegung von Schwachstellen verstehen.
Die ersten Teilnehmer von Project Lightwell sind bedeutende Finanzinstitutionen, darunter Bank of America, BNY, Citi, Goldman Sachs, JPMorgan Chase, Mastercard, Morgan Stanley, Royal Bank of Canada, State Street, Visa und Wells Fargo. Bei diesen Implementierungen möchten IBM und Red Hat die Prozesse zur Identifizierung, Überprüfung und Behebung von Sicherheitsanfälligkeiten in komplexen Software-Lieferketten erproben.
Zudem betont IBM den Umfang des Problems: Das Unternehmen nutzt selbst über 62.000 Open-Source-Paketen und behauptet, über tiefgehende Expertise in mehr als 10.000 davon zu verfügen. Als Beispiele für Bereiche, in denen IBM und Red Hat bereits Kompetenz aufgebaut haben, werden Linux, Java, Kubernetes, Kafka, Ansible, Terraform, Flink und Cassandra genannt.
Tatsächlich sieht Project Lightwell aus wie der Versuch, die Wartung und Überprüfung von Open-Source-Abhängigkeiten in ein eigenständiges Unternehmensprodukt zu verwandeln. Für die Community wird eine wichtige Frage sein, inwieweit die Korrekturen tatsächlich zeitnah in Upstream eingehen werden und nicht innerhalb des kostenpflichtigen Rahmens von IBM/Red Hat verbleiben. In der offiziellen Projektbeschreibung versprechen die Unternehmen, gleichzeitig geprüfte Korrekturen an die Kunden zu liefern und Patches über ein Verfahren zur verantwortungsvollen Offenlegung an die Open-Source-Projekte weiterzugeben.
Quelle: linux.org.ru
