IBM e Red Hat hanno annunciato il lancio dell'iniziativa Project Lightwell, nell'ambito della quale le aziende intendono investire 5 miliardi di dollari per la protezione del software open source e delle catene di fornitura del software. Il progetto è presentato come un «centro di coordinamento affidabile» per scoprire, verificare e correggere le vulnerabilità nei componenti open source utilizzati dai clienti aziendali.
Natura Project Lightwell — estendere il modello di supporto open source aziendale tipico di Red Hat oltre i propri prodotti. Se in passato l'azienda testava, firmava, forniva e inviava correzioni upstream principalmente per i componenti delle proprie piattaforme, ora questo approccio vuole essere applicato a un insieme più ampio di dipendenze: librerie indipendenti, toolchain linguistici, framework AI e piattaforme di elaborazione dei dati in streaming.
Secondo IBM e Red Hat, i clienti aziendali potranno segnalare problemi di sicurezza trovati in specifiche versioni del software utilizzato, ricevere correzioni verificate e integrarle nelle proprie catene di build e fornitura esistenti. Red Hat specifica che i clienti potranno indirizzare i propri strumenti di build, inclusi Artifactory, Nexus o Maven, a un registro sicuro di Red Hat; dopo di che l'azienda scannerà, porterà a monte, testerà, firmerà e fornirà artefatti corretti per le versioni stabilite dei pacchetti.
Project Lightwell sarà offerto come abbonamento commerciale. Reuters cita il vicepresidente senior di IBM Software Rob Thomas scrivendo che il servizio dovrebbe diventare commercialmente disponibile «nelle prossime 30 giorni», e il prezzo sarà probabilmente basato sul numero di pacchetti utilizzati. Secondo IBM, i clienti potranno ricevere una sorta di conferma da un clearinghouse che i loro componenti open source sono sicuri per l'uso in produzione.
Il progetto prevede la partecipazione di oltre 20 mila ingegneri IBM e Red Hat, oltre all'applicazione dell'IA per l'analisi massiva delle vulnerabilità, la classificazione, la prioritizzazione e la verifica delle correzioni. Red Hat sottolinea che l'IA è vista come uno strumento per accelerare l'elaborazione iniziale dei dati, mentre le decisioni critiche devono rimanere in capo agli ingegneri che comprendono il contesto dello sviluppo upstream, la compatibilità dei backport e le procedure di divulgazione responsabile delle vulnerabilità.
I primi partecipanti al Project Lightwell sono state grandi organizzazioni finanziarie, tra cui Bank of America, BNY, Citi, Goldman Sachs, JPMorganChase, Mastercard, Morgan Stanley, Royal Bank of Canada, State Street, Visa e Wells Fargo. In queste implementazioni, IBM e Red Hat intendono perfezionare i processi di identificazione, verifica e risoluzione delle vulnerabilità nelle complesse catene di fornitura del software.
IBM sottolinea separatamente l'entità del problema: l'azienda utilizza più di 62 mila pacchetti open source e dichiara di avere una profonda competenza in oltre 10 mila di essi. Come esempi di settori in cui IBM e Red Hat hanno già accumulato competenze vengono citati Linux, Java, Kubernetes, Kafka, Ansible, Terraform, Flink e Cassandra.
In effetti, il Project Lightwell appare come un tentativo di trasformare la gestione e la verifica delle dipendenze open source in un prodotto aziendale separato. Una questione importante per la comunità sarà quanto rapidamente le correzioni andranno realmente upstream e non rimarranno all'interno del circuito a pagamento IBM/Red Hat. Nella descrizione ufficiale del progetto, le aziende promettono di fornire simultaneamente correzioni verificate ai clienti e di inviare le patch ai progetti aperti attraverso una procedura di divulgazione responsabile.
Fonte: linux.org.ru
