IBM e Red Hat hanno annunciato il lancio di un'iniziativa Project Lightwell, attraverso la quale le aziende intendono investire 5 miliardi di dollari nella protezione del software open source e delle catene di fornitura del software. Il progetto è presentato come un «centro di coordinamento affidabile» per individuare, verificare e risolvere le vulnerabilità nei componenti open source utilizzati dai clienti aziendali.
L'essenza Project Lightwell è quella di estendere il consueto modello di supporto open source per le imprese di Red Hat oltre i propri prodotti. Se in passato l'azienda testava, firmava, forniva e inviava correzioni upstream principalmente per i componenti delle proprie piattaforme, ora si desidera applicare questo approccio a un insieme più ampio di dipendenze: librerie indipendenti, toolchain linguistiche, framework AI e piattaforme di streaming dei dati.
Secondo IBM e Red Hat, i clienti aziendali potranno segnalare eventuali problemi di sicurezza nelle versioni specifiche del software utilizzato, ricevere patch verificate e integrarle nelle loro catene di build e distribuzione esistenti. Red Hat specifica inoltre che i clienti potranno indirizzare i loro strumenti di build, inclusi Artifactory, Nexus o Maven, verso un registry sicuro di Red Hat; successivamente, l'azienda scannerà, retroporterà, testerà, firmarà e fornirà artefatti corretti per le versioni fissate dei pacchetti.
Project Lightwell sarà offerto come abbonamento commerciale. Reuters cita il vicepresidente senior di IBM Software, Rob Thomas, affermando che il servizio dovrebbe diventare commercialmente disponibile "nei prossimi 30 giorni" e il prezzo dipenderà probabilmente dal numero di pacchetti utilizzati. Secondo IBM, i clienti potranno ricevere una sorta di conferma dal clearinghouse che i loro componenti open source sono sicuri per l'uso in produzione.
Il progetto prevede la partecipazione di oltre 20.000 ingegneri IBM e Red Hat, oltre all'uso dell'IA per l'analisi su larga scala delle vulnerabilità, classificazione, prioritizzazione e verifica delle patch. Red Hat sottolinea che l'IA è vista come uno strumento per accelerare la lavorazione iniziale dei dati, mentre le decisioni critiche devono rimanere in capo agli ingegneri che comprendono il contesto dello sviluppo upstream, la compatibilità dei backport e le procedure di divulgazione responsabile delle vulnerabilità.
I primi partecipanti al Project Lightwell sono state grandi organizzazioni finanziarie, tra cui Bank of America, BNY, Citi, Goldman Sachs, JPMorgan Chase, Mastercard, Morgan Stanley, Royal Bank of Canada, State Street, Visa e Wells Fargo.Su queste implementazioni, IBM e Red Hat intendono perfezionare i processi di rilevamento, verifica e risoluzione delle vulnerabilità nelle complesse catene di approvvigionamento software.
IBM sottolinea anche la rilevanza del problema: l'azienda utilizza oltre 62.000 pacchetti open source e dichiara una profonda esperienza in oltre 10.000 di essi. Esempi di aree in cui IBM e Red Hat hanno già accumulato competenze includono Linux, Java, Kubernetes, Kafka, Ansible, Terraform, Flink e Cassandra.
In effetti, Project Lightwell appare come un tentativo di trasformare la gestione e il controllo delle dipendenze open source in un prodotto aziendale separato. Per la comunità, una questione importante sarà quanto rapidamente le correzioni vengano realmente inviate agli upstream, piuttosto che rimanere nel circuito a pagamento di IBM/Red Hat. Nella descrizione ufficiale del progetto, l'azienda promette di fornire correzioni verificate ai clienti e di inoltrare le patch ai progetti aperti attraverso una procedura di divulgazione responsabile.
Fonte: linux.org.ru
