A IBM e a Red Hat anunciaram o lançamento da iniciativa Project Lightwell, na qual as empresas pretendem investir 5 bilhões de dólares na proteção de software de código aberto e cadeias de suprimentos de software. O projeto é apresentado como um "centro de coordenação confiável" para identificar, verificar e corrigir vulnerabilidades em componentes de código aberto utilizados por clientes corporativos.
Essência Project Lightwell — expandir o modelo de suporte ao código aberto corporativo da Red Hat além de seus próprios produtos. Enquanto antes a empresa testava, assinava, fornecia e enviava correções upstream principalmente para componentes de suas plataformas, agora este enfoque será aplicado a uma gama mais ampla de dependências: bibliotecas independentes, toolchains de linguagem, frameworks de IA e plataformas de processamento de dados em tempo real.
Com a intenção da IBM e da Red Hat, os clientes corporativos poderão relatar problemas de segurança encontrados em versões específicas do software utilizado, receber correções verificadas e integrá-las em suas cadeias de montagem e fornecimento existentes. A Red Hat destaca que os clientes poderão direcionar suas ferramentas de build, incluindo Artifactory, Nexus ou Maven, para um registro seguro da Red Hat; depois disso, a empresa irá escanear, retrocompatibilizar, testar, assinar e fornecer artefatos corrigidos para versões fixas de pacotes.
O Project Lightwell será oferecido como uma assinatura comercial. A Reuters, citando o vice-presidente sênior da IBM Software, Rob Thomas, relatou que o serviço deve estar disponível comercialmente "dentro dos próximos 30 dias", e o preço provavelmente dependerá do número de pacotes utilizados. Segundo a IBM, os clientes poderão receber uma espécie de confirmação do clearinghouse de que seus componentes de código aberto são seguros para uso em produção.
O projeto terá a participação de mais de 20 mil engenheiros da IBM e da Red Hat, bem como a aplicação de IA para análise em massa de vulnerabilidades, triagem, priorização e verificação de correções. A Red Hat enfatiza que a IA é vista como uma ferramenta para acelerar o processamento inicial de dados, enquanto decisões críticas devem continuar a ser tomadas por engenheiros que entendem o contexto do desenvolvimento upstream, a compatibilidade com backports e os procedimentos de divulgação responsável de vulnerabilidades.
Os primeiros participantes do Project Lightwell foram grandes instituições financeiras, incluindo Bank of America, BNY, Citi, Goldman Sachs, JPMorganChase, Mastercard, Morgan Stanley, Royal Bank of Canada, State Street, Visa e Wells Fargo. Nesses implementos, a IBM e a Red Hat planejam aprimorar processos de identificação, verificação e correção de vulnerabilidades em cadeias de suprimento de software complexas.
A IBM destaca separadamente a magnitude do problema: a empresa utiliza mais de 62 mil pacotes de código aberto e afirma ter uma profunda especialização em mais de 10 mil deles. Exemplos de áreas onde a IBM e a Red Hat já acumularam competência incluem Linux, Java, Kubernetes, Kafka, Ansible, Terraform, Flink e Cassandra.
De fato, o Project Lightwell parece uma tentativa de transformar o suporte e a verificação de dependências de código aberto em um produto corporativo distinto. Para a comunidade, a questão importante será quão rapidamente as correções realmente serão enviadas para o upstream, em vez de permanecer dentro do circuito pago da IBM/Red Hat. Na descrição oficial do projeto, as empresas prometem fornecer correções verificadas aos clientes e enviar patches para projetos abertos através de um processo de divulgação responsável.
Fonte: linux.org.ru
