El Fondo OSTIF (Open Source Technology Improvement Fund), creado con el objetivo de aumentar la seguridad de los proyectos abiertos, ha anunciado su colaboración con Google, que ha expresado su disposición a financiar una auditoría de seguridad independiente de 8 proyectos abiertos. Los fondos recibidos de Google se destinarán a la auditoría de Git, la biblioteca JavaScript Lodash, el marco PHP Laravel, el marco Java Slf4j, las bibliotecas JSON Jackson (Jackson-core y Jackson-databind) y los componentes Java Apache Httpcomponents (Httpcomponents-core y Httpcomponents-client).
Anteriormente, el fondo OSTIF ya había llevado a cabo auditorías de los proyectos OpenSSL, VeraCrypt, OpenVPN, Monero, Unbound DNS y QRL con los recursos obtenidos de donaciones. La comunidad ya ha recaudado fondos para la auditoría del marco PHP Symfony. En caso de obtener financiación adicional para auditoría, también están previstos los proyectos Systemd, Electron, Rails, Dropal, Joomla, WebPack, Reprepro, Ceph, React Native, Salt, Ansible, Angilar, Gatsby y Guava.
La selección se realizó de manera empírica, basándose en la evaluación del impacto en la seguridad que tiene cada proyecto en el ecosistema del software de código abierto y el beneficio potencial que puede aportar a la comunidad al aumentar la seguridad de los proyectos considerados. Para aproximadamente 100,000 proyectos en GitHub se calculó un coeficiente que toma en cuenta factores como la popularidad de uso como dependencia, la demanda en infraestructuras, el número de desarrolladores, la actividad del desarrollo, el número de errores reportados y no resueltos, el número de organizaciones que apoyan el proyecto, la frecuencia de actualizaciones, la historia de vulnerabilidades detectadas, etc.
Fuente: opennet.ru
