O Fundo OSTIF (Fundo de Melhoria da Tecnologia de Código Aberto), criado para aumentar a segurança de projetos abertos, anunciou uma parceria com a Google, que se comprometeu a financiar a realização de uma auditoria de segurança em 8 projetos abertos. Com os recursos recebidos da Google, será realizada uma auditoria no Git, na biblioteca JavaScript Lodash, no framework PHP Laravel, no framework Java Slf4j, nas bibliotecas JSON Jackson (Jackson-core e Jackson-databind) e nos componentes Java Apache Httpcomponents (Httpcomponents-core e Httpcomponents-client).
Anteriormente, com os recursos obtidos por meio de doações, o fundo OSTIF já realizou auditorias nos projetos OpenSSL, VeraCrypt, OpenVPN, Monero, Unbound DNS e QRL. A comunidade já arrecadou fundos separadamente para a auditoria do framework PHP Symfony. Caso mais financiamento seja obtido, também estão previstos projetos como Systemd, Electron, Rails, Drupal, Joomla, WebPack, Reprepro, Ceph, React Native, Salt, Ansible, Angular, Gatsby e Guava para auditoria.
A escolha foi feita de forma empírica com base na avaliação do impacto da segurança do projeto no ecossistema de software livre e no potencial benefício para a comunidade ao aumentar a segurança dos projetos considerados. Para aproximadamente 100 mil projetos no GitHub, foi calculado um coeficiente que considera fatores como popularidade como dependência, demanda em infraestruturas, número de desenvolvedores, atividade de desenvolvimento, número de relatórios de erros resolvidos e não resolvidos, número de organizações que apoiam o projeto, frequência de lançamentos de atualizações, histórico de vulnerabilidades encontradas, entre outros.
Fonte: opennet.ru
