Het OSTIF (Open Source Technology Improvement Fund), opgericht om de beveiliging van open-source projecten te verbeteren, heeft een samenwerking aangekondigd met Google, dat bereid is om de financiering voor een onafhankelijk beveiligingsaudit van 8 open-source projecten op zich te nemen. Met de middelen van Google zal een audit worden uitgevoerd voor Git, de JavaScript-bibliotheek Lodash, het PHP-framework Laravel, het Java-framework Slf4j, de JSON-bibliotheken Jackson (Jackson-core en Jackson-databind) en de Java-componenten Apache Httpcomponents (Httpcomponents-core en Httpcomponents-client).
Eerder heeft het OSTIF al audits uitgevoerd van projecten zoals OpenSSL, VeraCrypt, OpenVPN, Monero, Unbound DNS en QRL, met de middelen die zijn verzameld door middel van donaties. De gemeenschap heeft ook fondsen ingezameld voor een audit van het PHP-framework Symfony. Bij aanvullende financiering worden ook de projecten Systemd, Electron, Rails, Drupal, Joomla, WebPack, Reprepro, Ceph, React Native, Salt, Ansible, Angular, Gatsby en Guava overwogen voor een audit.
De selectie is gedaan op empirische basis, gebaseerd op de beoordeling van de impact van de beveiliging van het project op het ecosysteem van open-source software en de potentiële voordelen voor de gemeenschap van het verhogen van de beveiliging van de onderzochte projecten. Voor ongeveer 100.000 projecten op GitHub is een index berekend die rekening houdt met factoren zoals populariteit als afhankelijkheid, vraag in infrastructuren, aantal ontwikkelaars, ontwikkelactiviteit, aantal open en gesloten bugmeldingen, aantal ondersteunende organisaties, frequentie van updates, geschiedenis van kwetsbaarheden, enz.
Bron: opennet.ru
