Az OSTIF (Open Source Technology Improvement Fund) alapítvány, amelyet a nyílt projektek biztonságának javítására hoztak létre, bejelentette együttműködését a Google-lal, amely készséget mutatott arra, hogy finanszírozza nyolc nyílt projekt független biztonsági auditját. A Google-tól kapott forrásokból auditot terveznek végezni a Git, a Lodash JavaScript könyvtár, a Laravel PHP keretrendszer, a Slf4j Java keretrendszer, a Jackson JSON könyvtárak (Jackson-core és Jackson-databind), valamint az Apache Httpcomponents Java összetevők (Httpcomponents-core és Httpcomponents-client) terén.
A korábban adománygyűjtéséből befolyt forrásokat az OSTIF alapítvány már felhasználta az OpenSSL, VeraCrypt, OpenVPN, Monero, Unbound DNS és QRL projektek auditjára. A közösség már külön forrást gyűjtött a Symfony PHP keretrendszer auditjára is. További finanszírozás esetén a következő projekteket tervezik auditálni: Systemd, Electron, Rails, Dropal, Joomla, WebPack, Reprepro, Ceph, React Native, Salt, Ansible, Angular, Gatsby és Guava.
A választás empirikus módszerrel történt, a projektek biztonsági hatásának értékelése és a közösség potenciális nyereségének figyelembevételével a vizsgált projektek biztonságának növeléséből. Körülbelül 100 ezer GitHub projekt esetében meghatározták a faktort, amely figyelembe vette az alábbi tényezőket: a függőségek népszerűsége, az infrastruktúrákban való igény, a fejlesztők száma, a fejlesztés aktivitása, a megoldott és nem megoldott hibajelentések száma, a projektet támogató szervezetek száma, a frissítések megjelenésének gyakorisága, a sebezhetőségek felfedezésének története stb.
Forrás: opennet.ru
