Het OpenSSF-fonds (Open Source Security Foundation) heeft het Alpha-Omega-project geĆÆntroduceerd, gericht op het verbeteren van de veiligheid van open-source software. Aanvankelijke investeringen van 5 miljoen dollar en personeel voor de lancering van het initiatief worden geleverd door Google en Microsoft. Ook andere organisaties worden uitgenodigd om deel te nemen, zowel door het bieden van technische medewerkers als op financieel gebied, wat zal helpen om het aantal open-source projecten dat onder het initiatief valt uit te breiden. Bovendien werd aan het OpenSSF-fonds vorig jaar 10 miljoen dollar toegewezen; het is nog niet duidelijk of deze middelen zullen worden gebruikt voor het Alpha-Omega-initiatief.
Het Alpha-Omega-project bestaat uit twee onderdelen:
- De Alpha-deel houdt in dat er een handmatige beveiligingsaudit plaatsvindt van 200 veelgebruikte open-source projecten, die populair zijn vanuit het perspectief van hun gebruik als afhankelijkheden of als onderdelen van infrastructuur. Het werk zal worden uitgevoerd in samenwerking met de onderhouders en omvat een systematische analyse van de code om nieuwe kwetsbaarheden te identificeren en deze snel te verhelpen.
- De Omega-deel richt zich op het uitvoeren van geautomatiseerde tests op de 10.000 meest populaire open-source projecten. Voor het testen, de verbetering van toegepaste methoden, de analyse van testresultaten, het doorgeven van informatie aan ontwikkelaars en de coƶrdinatie van gezamenlijke inspanningen voor het oplossen van kritische problemen zal een apart team van ingenieurs worden opgericht. De belangrijkste taak van dit team zal zijn om valse positieven te elimineren en echte kwetsbaarheden in geautomatiseerde rapporten te identificeren.
De noodzaak van een handmatige audit in de Alpha-fase is te wijten aan de noodzaak om verborgen problemen te identificeren die moeilijk te detecteren zijn tijdens geautomatiseerde tests. Voorbeelden van dergelijke problemen zijn recente kritieke kwetsbaarheden in Log4j, die de infrastructuur van veel grote bedrijven in gevaar hebben gebracht. Projecten voor audit zullen worden geselecteerd op basis van aanbevelingen van de deskundige gemeenschap en gegevens uit eerder opgestelde ranglijsten zoals Critically Score en Census.
Laten we herinneren dat de OpenSSF Foundation is opgericht onder het auspiciƫn van de Linux Foundation en zich richt op gebieden zoals gecoƶrdineerde openbaarmaking van kwetsbaarheden, verspreiding van patches, ontwikkeling van beveiligingstools, publicatie van best practices voor veilige ontwikkelingsorganisaties, identificatie van beveiligingsgerelateerde bedreigingen in open source-software, uitvoering van audits en versterking van de beveiliging van kritieke open projecten en het creƫren van middelen voor de identificatie van ontwikkelaars. OpenSSF blijft initiatieven zoals de Core Infrastructure Initiative en de Open Source Security Coalition ontwikkelen en verenigt ook andere beveiligingsinitiatieven die door de aangesloten bedrijven worden genomen. Onder de oprichters van OpenSSF bevinden zich Google, Microsoft, Amazon, Cisco, Dell Technologies, Ericsson, Facebook, Fidelity, GitHub, IBM, Intel, JPMorgan Chase, Morgan Stanley, Oracle, Red Hat, Snyk en VMware.
Bron: opennet.ru
