IBM i Red Hat najavili su pokretanje inicijative Project Lightwell, u okviru koje planiraju uložiti 5 milijardi dolara u zaštitu otvorenog softvera i lanaca opskrbe softverom. Projekt se predstavlja kao 'povjer centar koordinacije' za pronalaženje, provjeru i otklanjanje ranjivosti u open source komponentama koje koriste korporativni klijenti.
Bit Project Lightwell — proširiti poznati model podrške Red Hata za korporativni open source izvan vlastitih proizvoda. Dok je ranije tvrtka testirala, potpisivala, isporučivala i slala ispravke upstream uglavnom za komponente svojih platformi, sada žele primijeniti ovaj pristup na širi skup ovisnosti: neovisne biblioteke, alatne lance jezika, AI okvire i platforme za obradu podataka.
Prema zamisli IBM-a i Red Hata, korporativni klijenti moći će prijavljivati otkrivene sigurnosne probleme u vezi s određenim verzijama korištenog softvera, primati provjerene ispravke i integrirati ih u svoje postojeće lance izrade i isporuke. Red Hat posebno naglašava da će klijenti moći usmjeravati svoje alate za izradu, uključujući Artifactory, Nexus ili Maven, na sigurni registar Red Hata; nakon toga kompanija će skenirati, bekportirati, testirati, potpisivati i isporučivati ispravljene artefakte za fiksne verzije paketa.
Project Lightwell bit će dostupan kao komercijalna pretplata. Reuters, pozivajući se na starijeg potpredsjednika IBM Software Roba Thomasa, piše da bi usluga trebala postati komercijalno dostupna 'u narednih 30 dana', a cijena će najvjerojatnije ovisiti o broju korištenih paketa. Prema riječima IBM-a, klijenti će moći dobiti neku vrstu potvrde od clearinghouse-a da su njihova open source komponenta sigurna za korištenje u produkciji.
U projektu sudjeluje više od 20 tisuća inženjera IBM-a i Red Hata, kao i primjena AI-a za masovnu analizu ranjivosti, sortiranje, prioritizaciju i provjeru ispravki. Pri tome Red Hat naglašava da se AI smatra alatom za ubrzavanje prvotne obrade podataka, dok ključne odluke treba donijeti inženjeri koji razumiju kontekst upstream razvoja, kompatibilnost bekporta i procedure odgovornog otkrivanja ranjivosti.
Prvi sudionici projekta Project Lightwell bili su veliki financijski subjekti, uključujući Bank of America, BNY, Citi, Goldman Sachs, JPMorganChase, Mastercard, Morgan Stanley, Royal Bank of Canada, State Street, Visa i Wells Fargo. Na tim implementacijama IBM i Red Hat planiraju razvijati procese otkrivanja, provjere i uklanjanja ranjivosti u složenim proizvodnim lancima opskrbe softverom.
IBM posebno ističe opseg problema: tvrtka sama koristi više od 62 tisuće open source paketa i tvrdi da ima duboku stručnost u više od 10 tisuća od njih. Kao primjere područja u kojima su IBM i Red Hat već stekli kompetenciju navode se Linux, Java, Kubernetes, Kafka, Ansible, Terraform, Flink i Cassandra.
U biti, Project Lightwell izgleda kao pokušaj da se podrška i provjera open source zavisnosti pretvore u zaseban korporativni proizvod. Za zajednicu će važno pitanje biti koliko će se ispravke doista brzo slati u upstream, a ne ostajati unutar plaćenog okvira IBM/Red Hat. U službenom opisu projekta tvrtke obećavaju istovremeno isporučivati provjerene ispravke klijentima i slati zakrpe u otvorene projekte putem procedure odgovornog otkrivanja.
Izvor: linux.org.ru
