Fundusz OSTIF (Open Source Technology Improvement Fund), utworzony w celu wzmocnienia bezpieczeństwa projektów open source, ogłosił współpracę z firmą Google, która wyraziła gotowość do sfinansowania niezależnego audytu bezpieczeństwa 8 projektów. Środki od Google postanowiono przeznaczyć na audyt Git, biblioteki JavaScript Lodash, frameworka PHP Laravel, frameworka Java Slf4j, bibliotek JSON Jackson (Jackson-core i Jackson-databind) oraz komponentów Java Apache Httpcomponents (Httpcomponents-core i Httpcomponents-client).
Wcześniej fundusz OSTIF już przeprowadził audyty projektów OpenSSL, VeraCrypt, OpenVPN, Monero, Unbound DNS i QRL dzięki środkom zebranym w wyniku darowizn. Społeczność zebrała także fundusze na audyt frameworka PHP Symfony. W przypadku pozyskania dodatkowego finansowania planowane są audyty projektów Systemd, Electron, Rails, Dropal, Joomla, WebPack, Reprepro, Ceph, React Native, Salt, Ansible, Angular, Gatsby i Guava.
Wybór został dokonany empirycznie na podstawie oceny wpływu bezpieczeństwa projektu na ekosystem oprogramowania open source oraz potencjalnych korzyści dla społeczności z zacieśnienia bezpieczeństwa rozważanych projektów. Dla około 100 tysięcy projektów na GitHub obliczono współczynnik, który uwzględnia czynniki takie jak popularność jako zależność, zapotrzebowanie w infrastrukturach, liczba programistów, aktywność w rozwoju, liczba zamkniętych i otwartych zgłoszeń błędów, liczba organizacji wspierających projekt, częstotliwość wydawania aktualizacji, historia wykrywania podatności itd.
Źródło: opennet.ru
