Il Fondo OSTIF (Open Source Technology Improvement Fund), creato per rafforzare la sicurezza dei progetti open source, ha annunciato una collaborazione con Google, che ha espresso la sua disponibilità a finanziare un audit di sicurezza indipendente per otto progetti open source. Con i fondi ricevuti da Google, si prevede di eseguire l'audit di Git, della libreria JavaScript Lodash, del framework PHP Laravel, del framework Java Slf4j, delle librerie JSON Jackson (Jackson-core e Jackson-databind) e dei componenti Java Apache Httpcomponents (Httpcomponents-core e Httpcomponents-client).
In precedenza, con i fondi raccolti tramite donazioni, il fondo OSTIF ha già condotto audit sui progetti OpenSSL, VeraCrypt, OpenVPN, Monero, Unbound DNS e QRL. Inoltre, la comunità ha già raccolto fondi per l'audit del framework PHP Symfony. In caso di ulteriore finanziamento, sono previsti anche gli audit per i progetti Systemd, Electron, Rails, Drupal, Joomla, WebPack, Reprepro, Ceph, React Native, Salt, Ansible, Angular, Gatsby e Guava.
La selezione è stata effettuata empiricamente, basata sulla valutazione dell'impatto della sicurezza del progetto sull'ecosistema del software open source e sui potenziali benefici per la comunità derivanti dall'aumento della sicurezza dei progetti considerati. Per circa 100.000 progetti su GitHub è stato calcolato un coefficiente che tiene conto di fattori come la popolarità come dipendenza, la richiesta nelle infrastrutture, il numero di sviluppatori, l'attività di sviluppo, il numero di bug chiusi e aperti, il numero di organizzazioni che supportano il progetto, la frequenza degli aggiornamenti, la storia delle vulnerabilità, ecc.
Fonte: opennet.ru
