A Google apresentou a iniciativa Secure Open Source (SOS), dentro da qual serão organizados pagamentos de recompensas por trabalhos realizados para aumentar a segurança de software livre crítico. Para os primeiros pagamentos, um milhão de dólares foi alocado, mas se a iniciativa for considerada bem-sucedida, o investimento no projeto continuará.
As seguintes recompensas estão previstas:
- $10000 ou mais — por melhorias complexas, significativas e relevantes a longo prazo que ofereçam proteção contra sérias vulnerabilidades no código ou na infraestrutura de projetos abertos.
- $5000-$10000 — para melhorias de dificuldade média, que impactam positivamente na segurança.
- $1000-$5000 para melhorias de dificuldade moderada, aumentando a segurança.
- $505 — para pequenas melhorias que reforçam a segurança.
As solicitações de recompensa são aceitas apenas para alterações que sejam incorporadas a projetos com um nível de criticidade não inferior a 0.6 no ranking OpenSSF Critically Score ou que estejam na lista de projetos que requerem verificação de segurança especial. A natureza das mudanças propostas deve estar relacionada ao aumento da segurança em áreas como fortalecimento da proteção de elementos de infraestrutura (por exemplo, processos de integração contínua e distribuição de lançamentos), implementação de sistemas de verificação por assinaturas digitais de componentes de software, aumento do nível do produto (revisões, proteção de branches, teste Fuzzing, proteção contra ataques via dependências).
Fonte: opennet.ru
