Il Fondo OSTIF (Open Source Technology Improvement Fund), creato per migliorare la sicurezza dei progetti open source, ha annunciato una collaborazione con Google, che ha dichiarato la propria disponibilità a finanziare un audit indipendente della sicurezza di 8 progetti open source. I fondi ricevuti da Google saranno utilizzati per eseguire l'audit di Git, della libreria JavaScript Lodash, del framework PHP Laravel, del framework Java Slf4j, delle librerie JSON Jackson (Jackson-core e Jackson-databind) e dei componenti Java Apache Httpcomponents (Httpcomponents-core e Httpcomponents-client).
In precedenza, il Fondo OSTIF ha già effettuato revisione di progetti come OpenSSL, VeraCrypt, OpenVPN, Monero, Unbound DNS e QRL, utilizzando i fondi raccolti tramite donazioni. Separatamente, sono stati già raccolti fondi dalla comunità per l'audit del framework PHP Symfony. Se ci saranno ulteriori finanziamenti, sono previsti audit anche per i progetti Systemd, Electron, Rails, Dropal, Joomla, WebPack, Reprepro, Ceph, React Native, Salt, Ansible, Angular, Gatsby e Guava.
La scelta è stata effettuata empiricamente sulla base della valutazione dell'impatto sulla sicurezza del progetto sull'ecosistema del software open source e del potenziale beneficio per la comunità derivante dall'aumento della sicurezza dei progetti esaminati. Per circa 100.000 progetti su GitHub è stato calcolato un coefficiente che tiene conto di fattori come la popolarità nell'uso come dipendenza, la richiesta nelle infrastrutture, il numero di sviluppatori, l'attività di sviluppo, il numero di bug report chiusi e non chiusi, il numero di organizzazioni che supportano il progetto, la frequenza di rilascio degli aggiornamenti, la storia delle vulnerabilità riscontrate e così via.
Fonte: opennet.ru
