O Fundo OpenSSF (Open Source Security Foundation) apresentou o projeto Alpha-Omega, visando aumentar a segurança do software de código aberto. Os investimentos iniciais para o desenvolvimento do projeto, no valor de 5 milhões de dólares, e a equipe para lançar a iniciativa serão fornecidos pelas empresas Google e Microsoft. Outras organizações também estão convidadas a participar, podendo contribuir tanto com profissionais de engenharia quanto em nível de financiamento, o que ajudará a ampliar o número de projetos abertos que serão abrangidos pela iniciativa. Além disso, no final do ano passado, foram alocados 10 milhões de dólares para o trabalho do Fundo OpenSSF, sem esclarecimentos sobre se esses recursos serão utilizados na iniciativa Alpha-Omega.
O projeto Alpha-Omega consiste em duas partes:
- A Parte Alpha envolve a realização de uma auditoria manual de segurança em 200 projetos abertos amplamente utilizados, os mais populares em termos de uso como dependências ou em elementos de infraestrutura. O trabalho será feito em colaboração com os mantenedores e incluirá uma análise sistemática do código para identificar novas vulnerabilidades e corrigi-las rapidamente.
- A Parte Omega está focada na realização de testes automatizados em 10 mil dos projetos abertos mais populares. Para a realização dos testes, aprimoramento dos métodos aplicados, análise dos resultados verificados, comunicação das informações aos desenvolvedores dos projetos e coordenação do trabalho conjunto para resolver problemas críticos, será criada uma equipe separada de engenheiros. A principal tarefa dessa equipe será eliminar falsos positivos e identificar vulnerabilidades reais nos relatórios automatizados.
A necessidade da auditoria manual na fase Alpha se deve à identificação de problemas ocultos que são difíceis de detectar durante os testes automatizados. Como exemplo, citam-se as recentes vulnerabilidades críticas no Log4j, que colocaram em risco a infraestrutura de muitas grandes empresas. Os projetos para auditoria serão selecionados com base nas recomendações da comunidade de especialistas e em dados de classificações previamente formadas, como Critically Score e Census.
Lembramos que o OpenSSF Foundation foi criado sob a égide da Linux Foundation e se concentra em áreas como divulgação coordenada de informações sobre vulnerabilidades, disseminação de correções, desenvolvimento de ferramentas de segurança, publicação de melhores práticas para uma organização de desenvolvimento segura, identificação de ameaças relacionadas à segurança em software aberto, realização de auditorias e fortalecimento da segurança de projetos abertos críticos, e criação de meios para verificação da identidade dos desenvolvedores. O OpenSSF continua a desenvolver iniciativas como a Core Infrastructure Initiative e a Open Source Security Coalition, além de reunir outros trabalhos relacionados à segurança realizados pelas empresas participantes. Entre as empresas fundadoras do OpenSSF estão Google, Microsoft, Amazon, Cisco, Dell Technologies, Ericsson, Facebook, Fidelity, GitHub, IBM, Intel, JPMorgan Chase, Morgan Stanley, Oracle, Red Hat, Snyk e VMware.
Fonte: opennet.ru
