Az IBM és a Red Hat bejelentette egy kezdeményezés elindítását Project Lightwell, amelynek keretében a vállalatok 5 milliárd dollárt fognak befektetni a nyílt forráskódú szoftverek és a szoftverellátási lánc védelmébe. A projekt egy "megbízható koordinációs központként" van bemutatva, amely a vállalati ügyfelek által használt nyílt forráskódú komponensek sebezhetőségeinek keresésére, ellenőrzésére és javítására összpontosít.
A lényeg Project Lightwell — a Red Hat megszokott vállalati nyílt forráskódú támogatási modelljének kiterjesztése a saját termékein túl. Ha korábban a vállalat főként a platformjaihoz tartozó komponensek tesztelésére, aláírására, biztosítására és upstream javítások küldésére összpontosított, most ezt a megközelítést szélesebb körű függőségekre kívánják alkalmazni: független könyvtárakra, nyelvi eszközkészletekre, AI keretrendszerekre és adatfolyam feldolgozó platformokra.
Az IBM és a Red Hat tervei szerint a vállalati ügyfelek jelenthetik a nyílt forráskódú szoftver konkrét verzióiban felfedezett biztonsági problémákat, megkapják a hitelesített javításokat, és azokat beépíthetik meglévő építési és szállítási láncaikba. A Red Hat külön hangsúlyozza, hogy az ügyfelek irányíthatják build-eszközeiket, mint például Artifactory, Nexus vagy Maven, a Red Hat védett nyilvántartására; ezt követően a vállalat beolvassa, hátrairányítja, teszteli, aláírja és szállítja a javított artefaktumokat a rögzített csomagverziók számára.
A Project Lightwell kereskedelmi előfizetésként lesz elérhető Reuters nyomán. Rob Thomas, az IBM Software idősebb alelnöke írja, hogy a szolgáltatás "a következő 30 napon belül" kereskedelmi forgalomban lesz elérhető, és az ár valószínűleg a felhasznált csomagok számától függ. Az IBM szerint az ügyfelek egyfajta megerősítést kaphatnak a clearinghouse-tól, hogy nyílt forráskódú komponenseik biztonságosan használhatók a termelésben. A projektben több mint
20 ezer mérnök dolgozik az IBM-nél és a Red Hatnél, valamint mesterséges intelligencia alkalmazásával a sebezhetőségek tömeges elemzésére, rendezésére, priorizálására és a javítások ellenőrzésére. A Red Hat ugyanakkor hangsúlyozza, hogy az AI eszközként van alkalmazva az adatok elsődleges feldolgozásának felgyorsítására, míg a kritikus döntések továbbra is a nyílt forráskód fejlesztésének kontextusát ismerő mérnökökre hárulnak, figyelembe véve a hátra irányítási kompatibilitást és a sebezhetőségek felelős közzétételi eljárásait. Az IBM és a Red Hat, valamint a mesterséges intelligencia alkalmazása a sebezhetőségek tömeges elemzésében, rendezésében, priorizálásában és a javítások ellenőrzésében. A Red Hat hangsúlyozza, hogy a mesterséges intelligencia eszközként van jelen az adatok elsődleges feldolgozásának felgyorsítására, míg a kritikus döntéseket a kontextust ismerő mérnököknek kell meghozniuk, figyelembe véve a felfelé irányuló fejlesztés, a backportok kompatibilitása és a sebezhetőségek felelős nyilvánosságra hozatalának eljárásait.
A Project Lightwell első résztvevői között voltak jelentős pénzügyi szervezetek, beleértve a Bank of America, BNY, Citi, Goldman Sachs, JPMorganChase, Mastercard, Morgan Stanley, Royal Bank of Canada, State Street, Visa és Wells Fargo. Ezeken a bevezetéseken az IBM és a Red Hat a szoftverellátási láncokban rejlő sebezhetőségek azonosítására, ellenőrzésére és megszüntetésére vonatkozó folyamatokat kívánják tesztelni.
Különösen az IBM hangsúlyozza a probléma nagyságát: a cég több mint 62 ezer open source csomagot használ, és azt állítja, hogy több mint 10 ezerben mély szakértelemmel rendelkezik. Az IBM és a Red Hat által már felhalmozott kompetenciák közé tartozik a Linux, Java, Kubernetes, Kafka, Ansible, Terraform, Flink és Cassandra.
A Project Lightwell valójában úgy tűnik, hogy megpróbálja az open source függőségek kezelését és ellenőrzését külön vállalati termékké alakítani. A közösség számára fontos kérdés lesz, hogy a javítások valóban gyorsan eljutnak-e az upstreambe, és nem maradnak-e az IBM/Red Hat bértartományán belül. A projekt hivatalos leírásában a cégek ígéretet tettek arra, hogy ellenőrzött javításokat fognak egyszerre biztosítani az ügyfeleknek, és patch-eket adnak át a nyílt projekteknek felelős közzétételi eljárás keretében.
Forrás: linux.org.ru
