Az OpenSSF (Nyílt Forráskódú Biztonsági Alapítvány) bemutatta az Alpha-Omega projektet, amely a nyílt szoftver biztonságának növelésére irányul. A projekt fejlesztésére fordított kezdeti 5 millió dolláros befektetést és a kezdeményezés elindításához szükséges személyzetet a Google és a Microsoft biztosítja. Más szervezetek is meghívást kaptak, hogy részt vegyenek a projektben, akár mérnöki személyzet biztosításával, akár finanszírozás szintjén, ami segíteni fogja a kezdeményezés által érintett nyílt projektek számának növelését. Ezenkívül, a tavaly év végén az OpenSSF Alapítvány munkájára 10 millió dollárt különítettek el, hogy ezek az összegek felhasználásra kerülnek-e az Alpha-Omega kezdeményezéshez, az nincs megfogalmazva.
Az Alpha-Omega projekt két részből áll:
- Az Alpha rész célja 200 széles körben használt nyílt projekt manuális biztonsági auditjának elvégzése, amelyeket leginkább a függelem vagy az infrastruktúra elemeiként használnak. A munka a projekt szponzoraival együttműködésben zajlik, és magában foglalja a kód szisztematikus elemzését az új sebezhetőségek azonosítása és gyors javítása érdekében.
- Az Omega rész a 10 ezer legnépszerűbb nyílt projekt automatizált tesztelésére összpontosít. A tesztelés elvégzése, a használt módszerek fejlesztése, az ellenőrzési eredmények elemzése, az információk átadása a projekt fejlesztőinek és a kritikus problémák megoldásán való közös munka koordinálása érdekében külön mérnökcsapatot állítanak fel. Ennek a csapatnak a fő feladata a téves riasztások kiszűrése és a valós sebezhetőségek az automatizált jelentésekben történő azonosítása.
A manuális audit szükségessége az Alpha szakaszban a rejtett problémák azonosításához szükséges, amelyeket nehéz észlelni az automatizált tesztelés során. Például említést nyernek az utóbbi időben a Log4j-ban fellelt kritikus sebezhetőségek, amelyek számos nagyvállalat infrastruktúráját veszélyeztették. Az auditálásra szánt projekteket a szakmai közösség ajánlásai és a korábban kialakított Critically Score és Census rangsorainak adatai alapján választják ki.
Emlékeztetőül, az OpenSSF Alap a Linux Foundation égisze alatt jött létre, és főként az alábbi területeken tevékenykedik: a sebezhetőségek koordinált nyilvánosságra hozatala, a javítások terjesztése, biztonsági eszközök fejlesztése, a biztonságos fejlesztés legjobb gyakorlatait publikáló anyagok kiadása, a nyílt forráskódú szoftverekkel kapcsolatos biztonsági fenyegetések azonosítása, kritikus fontosságú nyílt projektek auditálásának és biztonságának fokozásának munkája, valamint a fejlesztők azonosítására szolgáló eszközök létrehozása. Az OpenSSF továbbra is fejleszti olyan kezdeményezéseit, mint a Core Infrastructure Initiative és az Open Source Security Coalition, és egyesíti a projekthez csatlakozó cégek által végzett egyéb, a biztonsággal kapcsolatos tevékenységeket. Az OpenSSF alapító tagjai közé tartozik a Google, a Microsoft, az Amazon, a Cisco, a Dell Technologies, az Ericsson, a Facebook, a Fidelity, a GitHub, az IBM, az Intel, a JPMorgan Chase, a Morgan Stanley, az Oracle, a Red Hat, a Snyk és a VMware.
Forrás: opennet.ru
