IBM ja Red Hat käivitavad Project Lightwelli, mis on tehisintellekti ja 20 000 inseneri toel töötav kommertslik avatud lähtekoodiga turvateenus.

IBM ja Red Hat teatasid algatuse käivitamisest Projekt Lightwell, mille raames ettevõtted kavatsevad investeerida 5 miljardit dollarit avatud lähtekoodiga tarkvara ja tarkvara tarneahelate kaitseks. Projekti esitletakse kui "usaldusväärset koordineerimiskeskust" äriklientide poolt kasutatavate avatud lähtekoodiga komponentide haavatavuste tuvastamiseks, kontrollimiseks ja parandamiseks.

süda Projekt Lightwell — laiendada Red Hati väljakujunenud ettevõtte avatud lähtekoodiga tarkvara toe mudelit väljaspoole ettevõtte enda tooteid. Kuigi ettevõte testis, allkirjastas, tarnis ja saatis varem ülesvoolu parandusi peamiselt oma platvormide komponentide jaoks, soovivad nad nüüd seda lähenemisviisi rakendada laiemale sõltuvuste hulgale: sõltumatutele teekidele, keeletööriistadele, tehisintellekti raamistikele ja voogedastusandmete töötlemise platvormidele.

IBM ja Red Hat plaanivad lubada ettevõtteklientidel teatada oma tarkvara teatud versioonides leitud turvaprobleemidest, saada kontrollitud parandusi ning integreerida need oma olemasolevatesse ehitus- ja tarneahelatesse. Red Hat väidab konkreetselt, et kliendid saavad esitada oma ehitustööriistad, sealhulgas Artifactory, Nexus või Maven, Red Hati turvalisse registrisse; seejärel skannib, tagasiportib, testib, allkirjastab ja tarnib määratud paketiversioonide parandatud esemeid.

Projekti Lightwell pakutakse järgmiselt: kommertstellimus. Reuters koos viitega IBM-i tarkvara vanem asepresidendi Rob Thomase avalduses öeldakse, et teenus peaks kaubanduslikult kättesaadavaks muutuma "järgmise 30 päeva jooksul" ning hind sõltub tõenäoliselt kasutatavate pakettide arvust. IBM-i sõnul saavad kliendid omamoodi kinnituse, et nende avatud lähtekoodiga komponendid on tootmiskasutuseks ohutud.

Projektis on osalemast teatatud enam kui 20 tuhat inseneri IBM ja Red Hat, samuti tehisintellekti kasutamine massiliseks haavatavuste analüüsiks, triaažiks, prioriseerimiseks ja paranduste valideerimiseks. Red Hat rõhutab, et tehisintellekti vaadeldakse kui vahendit esialgse andmetöötluse kiirendamiseks, samas kui kriitilised otsused peaksid jääma inseneride teha, kes mõistavad ülesvoolu arenduse konteksti, backportide ühilduvust ja vastutustundlikke haavatavuste avalikustamise protseduure.

Project Lightwelli esimesed osalejad olid suured finantsasutused, sealhulgas Bank of America, BNY, Citi, Goldman Sachs, JPMorganChase, Mastercard, Morgan Stanley, Royal Bank of Canada, State Street, Visa ja Wells FargoNende juurutustega kavatsevad IBM ja Red Hat harjutada protsesse keerukate tarkvaratarneahelate haavatavuste tuvastamiseks, kontrollimiseks ja parandamiseks.

IBM rõhutab eraldi probleemi ulatust: ettevõte ise kasutab rohkem 62 tuhat avatud lähtekoodiga paketti ja väidab end olevat sügavalt pädev enam kui 10 tuhat Näited valdkondadest, kus IBM ja Red Hat on juba kogemusi kogunud, on järgmised: Linux, Java, Kubernetes, Kafka, Ansible, Terraform, Flink ja Cassandra.

Projekt Lightwell näib sisuliselt olevat katse muuta avatud lähtekoodiga sõltuvuste hooldus ja kontrollimine eraldiseisvaks ettevõtte tooteks. Kogukonna jaoks on peamine küsimus, kui kiiresti parandused tegelikult ülesvoolu suunatakse, selle asemel, et jääda tasulise IBM/Red Hati raamistiku piiresse. Projekti ametlikus kirjelduses lubavad ettevõtted samaaegselt tarnida klientidele kontrollitud parandusi ja panustada avatud lähtekoodiga projektidesse vastutustundliku avalikustamisprotsessi kaudu.

Allikas: linux.org.ru