Es scheint, dass die Führungskräfte von GitHub ernsthaft über die Sicherheit von Software nachdenken. Zuerst gab es das Datenspeicherzentrum auf Spitzbergen und die finanzielle Unterstützung für Entwickler. Und jetzt die Initiative GitHub Security Lab, die alle interessierten Fachleute zur Verbesserung der Sicherheit von Open-Source-Software einlädt.
An der Initiative beteiligen sich bereits F5, Google, HackerOne, Intel, IOActive, J.P. Morgan, LinkedIn, Microsoft, Mozilla, NCC Group, Oracle, Trail of Bits, Uber und VMWare. In den letzten zwei Jahren haben sie dabei geholfen, 105 Schwachstellen in verschiedenen Projekten zu identifizieren und zu beheben.
Für andere Teilnehmer werden Belohnungen von bis zu 3000 $ für identifizierte Schwachstellen versprochen. Im GitHub-Interface ist es bereits möglich, eine CVE-ID für ein Problem zu erhalten und einen Bericht darüber zu erstellen. Ein Verzeichnis von Schwachstellen wurde eingerichtet, das Informationen zu Problemen mit auf GitHub gehosteten Anwendungen, betroffenen Paketen usw. enthält.
Darüber hinaus wurde ein aktualisierter Schutz in das System integriert, der dafür sorgt, dass persönliche und vertrauliche Daten wie Tokens, Schlüssel und ähnliche Informationen nicht in öffentliche Repositories gelangen. Das System scannt automatisch die Schlüssel-Formate von 20 Diensten und Cloud-Systemen. Bei Entdeckung eines Problems wird eine Anfrage an den Dienstanbieter gesendet, um das Problem zu bestätigen und kompromittierte Schlüssel zurückzuziehen.
Es sei darauf hingewiesen, dass GitHub zuvor von Microsoft übernommen wurde. Anscheinend hat man in Redmond beschlossen, die Datensicherheit ernsthaft in Angriff zu nehmen.
Quelle: 3dnews.ru
