IBM i Red Hat ogłosiły uruchomienie inicjatywy Project Lightwell, w ramach której firmy zamierzają zainwestować 5 miliardów dolarów w ochronę oprogramowania open source i łańcuchów dostaw oprogramowania. Projekt jest przedstawiony jako „zaufane centrum koordynacji” do wyszukiwania, weryfikacji i usuwania podatności w komponentach open source używanych przez klientów korporacyjnych.
Esencja Project Lightwell — rozszerzyć znany model wsparcia korporacyjnego open source Red Hat poza własne produkty. Jeśli wcześniej firma testowała, podpisywała, dostarczała i przesyłała poprawki upstream głównie dla komponentów swoich platform, to teraz ten model ma być stosowany do szerszego zestawu zależności: niezależnych bibliotek, toolchainów językowych, frameworków AI oraz platform do przetwarzania danych w czasie rzeczywistym.
Z zamysłem IBM i Red Hat, klienci korporacyjni będą mogli zgłaszać znalezione problemy bezpieczeństwa w konkretnych wersjach używanego oprogramowania, otrzymywać zweryfikowane poprawki i wbudowywać je w swoje istniejące łańcuchy budowy i dostawy. Red Hat podkreśla, że klienci będą mogli kierować swoje narzędzia do budowy, w tym Artifactory, Nexus lub Maven, na chroniony rejestr Red Hat; po tym firma będzie skanować, wprowadzać poprawki, testować, podpisywać i dostarczać poprawione artefakty dla zadeklarowanych wersji pakietów.
Project Lightwell będzie oferowany jako komercyjna subskrypcja. Reuters, powołując się na starszego wiceprezesa IBM Software Roba Thomasa, pisze, że usługa powinna stać się komercyjnie dostępna „w ciągu najbliższych 30 dni”, a cena prawdopodobnie będzie zależała od liczby używanych pakietów. Według IBM klienci będą mogli otrzymać swego rodzaju potwierdzenie od clearinghouse, że ich komponenty open source są bezpieczne do użycia w produkcji.
W projekcie bierze udział ponad 20 tysięcy inżynierów IBM i Red Hat, a także zastosowanie AI do masowej analizy podatności, sortowania, priorytetyzacji i weryfikacji poprawek. Przy tym Red Hat podkreśla, że AI jest traktowane jako narzędzie przyspieszające wstępną obróbkę danych, a kluczowe decyzje powinny pozostać w gestii inżynierów rozumiejących kontekst upstream development, kompatybilność backportów oraz procedury odpowiedzialnego ujawniania podatności.
Pierwszymi uczestnikami Project Lightwell stały się duże organizacje finansowe, w tym Bank of America, BNY, Citi, Goldman Sachs, JPMorganChase, Mastercard, Morgan Stanley, Royal Bank of Canada, State Street, Visa oraz Wells Fargo. W tych wdrożeniach IBM i Red Hat planują doskonalić procesy identyfikacji, weryfikacji i eliminacji luk w złożonych łańcuchach dostaw oprogramowania.
Osobno IBM podkreśla skalę problemu: firma korzysta z ponad 62 tysięcy pakietów open source i twierdzi, że ma głęboką ekspertyzę w ponad 10 tysiącach z nich. Jako przykłady obszarów, w których IBM i Red Hat już zdobyły kompetencje, wymienia się Linux, Java, Kubernetes, Kafka, Ansible, Terraform, Flink oraz Cassandra.
Faktycznie, Project Lightwell wygląda jak próba przekształcenia wsparcia i weryfikacji zależności open source w osobny produkt korporacyjny. Dla społeczności istotnym pytaniem będzie, na ile poprawki rzeczywiście trafią szybko do upstreamu, a nie pozostaną wewnątrz płatnego obiegu IBM/Red Hat. W oficjalnym opisie projektu firmy obiecują jednocześnie dostarczać zweryfikowane poprawki klientom oraz przekazywać łatki do projektów otwartych poprzez procedurę odpowiedzialnego ujawnienia.
Źródło: linux.org.ru
