Il Fondo OpenSSF (Open Source Security Foundation) ha presentato il progetto Alpha-Omega, mirato a migliorare la sicurezza del software open source. Gli investimenti iniziali per lo sviluppo del progetto ammontano a 5 milioni di dollari e le risorse per avviare l'iniziativa saranno fornite da Google e Microsoft. Sono anche invitati a partecipare altri enti, sia attraverso la fornitura di risorse ingegneristiche che a livello di finanziamento, per ampliare il numero di progetti open source coperti dall'iniziativa. Inoltre, alla fine dello scorso anno sono stati stanziati 10 milioni di dollari per il lavoro del Fondo OpenSSF, ma non è specificato se tali fondi saranno utilizzati per l'iniziativa Alpha-Omega.
Il progetto Alpha-Omega è composto da due parti:
- La parte Alpha prevede un audit manuale della sicurezza di 200 progetti open source ampiamente utilizzati, i più popolari in termini di utilizzo come dipendenze o elementi dell'infrastruttura. Il lavoro sarà svolto in collaborazione con i manutentori e includerà un'analisi sistematica del codice per identificare nuove vulnerabilità e correggerle tempestivamente.
- La parte Omega si concentra sulla conduzione di test automatizzati su 10.000 dei progetti open source più popolari. Per eseguire i test, migliorare le metodologie utilizzate, analizzare i risultati del controllo, comunicare le informazioni agli sviluppatori dei progetti e coordinare il lavoro collaborativo per risolvere i problemi critici, sarà creata una squadra di ingegneri dedicata. L'obiettivo principale di questo team sarà quello di escludere i falsi positivi e identificare vulnerabilità reali nei report automatizzati.
La necessità di un audit manuale nella fase Alpha è dovuta alla necessità di identificare problemi nascosti che possono essere difficili da rilevare durante i test automatizzati. Un esempio di tali problemi è rappresentato dalle recenti vulnerabilità critiche in Log4j, che hanno messo in pericolo le infrastrutture di molte grandi aziende. I progetti per l'audit saranno selezionati tenendo conto delle raccomandazioni della comunità di esperti e dei dati dai precedenti punteggi formati Critically Score e Census.
Ricordiamo che il Fondo OpenSSF è stato creato sotto l'egida della Linux Foundation e si concentra su aree come la divulgazione coordinata delle vulnerabilità, la diffusione delle patch, lo sviluppo di strumenti per garantire la sicurezza, la pubblicazione delle migliori pratiche per un'organizzazione sicura dello sviluppo, l'identificazione delle minacce legate alla sicurezza nel software open source, l'audit e il rafforzamento della sicurezza di progetti open source critici, e la creazione di strumenti per la verifica dell'identità degli sviluppatori. OpenSSF continua a sviluppare iniziative come la Core Infrastructure Initiative e la Open Source Security Coalition, unendo anche altre attività legate alla sicurezza intraprese dalle aziende che si sono unite al progetto. Tra le aziende fondatrici di OpenSSF figurano Google, Microsoft, Amazon, Cisco, Dell Technologies, Ericsson, Facebook, Fidelity, GitHub, IBM, Intel, JPMorgan Chase, Morgan Stanley, Oracle, Red Hat, Snyk e VMware.
Fonte: opennet.ru
