Sembra che la direzione di GitHub stia prendendo sul serio la sicurezza del software. Prima c'era il repository di dati alle Svalbard e il supporto finanziario per gli sviluppatori. E adesso l'iniziativa GitHub Security Lab, che prevede la partecipazione di tutti gli esperti interessati per migliorare la sicurezza del software open source.
Già partecipano all'iniziativa F5, Google, HackerOne, Intel, IOActive, J.P. Morgan, LinkedIn, Microsoft, Mozilla, NCC Group, Oracle, Trail of Bits, Uber e VMWare. Negli ultimi due anni, hanno aiutato a identificare e correggere 105 vulnerabilità in diversi progetti.
Agli altri partecipanti vengono offerte ricompense fino a $3000 per le vulnerabilità scoperte. Nell'interfaccia di GitHub è già disponibile la possibilità di ricevere un identificatore CVE per il problema e creare un report a riguardo. È stato introdotto un catalogo delle vulnerabilità , contenente informazioni sui problemi delle applicazioni ospitate su GitHub, pacchetti vulnerabili e così via.
Inoltre, il sistema ha già implementato una protezione aggiornata che monitora che dati personali e riservati, come token, chiavi e simili, non finiscano in repository pubblici. Si afferma che il sistema scansiona automaticamente i formati delle chiavi di 20 servizi e sistemi cloud. Se viene rilevato un problema, viene inviato un messaggio al fornitore del servizio per confermare il problema e revocare le chiavi compromesse.
Va notato che in precedenza GitHub era stato acquisito da Microsoft. Sembra che a Redmond abbiano deciso di prendere sul serio la sicurezza dei dati.
Fonte: 3dnews.ru
