GitHub systému na poskytovanie finančnej podpory otvoreným projektom. Nová služba ponúka novú formu účasti na rozvoji projektov — ak používateľ nemá možnosť pomôcť pri vývoji, môže sa pripojiť k zaujímavým projektom ako sponzor a pomáhať financovaním konkrétnych vývojárov, správcu, dizajnérov, autorov dokumentácie, testerov a ďalších zapojených účastníkov projektu.
S pomocou systému sponzorstva môže ktorýkoľvek používateľ GitHubu mesačne prispievať pevnými sumami vývojárom otvoreného kódu, v službe ako účastníci, ktorí sú pripravení prijímať finančnú podporu (počas testovania služby je počet účastníkov obmedzený). Sponzorovaní účastníci môžu určovať úrovne podpory a s nimi spojené výhody pre sponzorov, ako je prioritná oprava chýb. Zvažuje sa aj možnosť organizovať financovanie nielen jednotlivých účastníkov, ale aj skupín vývojárov zapojených do práce na projekte.
Na rozdiel od iných platforiem skupinového financovania si GitHub neberie určité percento za sprostredkovanie a prvý rok bude pokrývať náklady na spracovanie platieb. Následne nie je vylúčené zavedenie odvodu za spracovanie platieb. Pre podporu služby bol vytvorený špeciálny fond GitHub Sponsors Matching Fund, ktorý sa bude zaoberať rozdeľovaním finančných tokov.
Okrem sponzorstva GitHub tiež novú službu na zabezpečenie projektov, postavenú na technológiách získaných výsledkom spoločnosti Dependabot. Dependabot je teraz integrovaný do GitHubu a je dostupný zadarmo.
Služba umožňuje sledovať zraniteľnosti v závislostiach, posielať vlastníkům repozitárov upozornenia na existenciu problémov v závislostiach a automaticky otvárať pull požiadavky na opravu identifikovaných zraniteľností.
Upozornenia sa zobrazujú v záložke „Bezpečnosť“ a obsahujú podrobnosti o zraniteľnosti a súboroch projektu, ktoré problém ovplyvňuje. Opravy sú generované prostredníctvom aktualizácie v zozname závislostí minimálnej verzie na verziu, v ktorej bola zraniteľnosť odstránená. Informácie o zraniteľnostiach sú čerpané z databáz a , a na základe oznámení od správcov projektov a automatického analytika komitov na GitHube s následným potvrdením v systéme manuálneho preskúmania.
Pre správcov projektov rozhranie na publikovanie a umiestňovanie správ o zraniteľnostiach (security advisories), ako aj na súkromné diskusie o otázkach súvisiacich s opravou zraniteľností.
Okrem toho na ochranu pred dôvernými údajmi v verejne prístupných repozitároch bol uvedený do prevádzky tokenov a prístupových kľúčov. Počas komitu skener kontroluje typické formáty kľúčov a tokeny prístupu k API Alibaba Cloud, Amazon Web Services (AWS), Azure, GitHub, Google Cloud, Mailgun, Slack, Stripe a Twilio. V prípade zistenia tokenu poskytovateľovi služieb posiela žiadosti o potvrdenie úniku a odvolanie kompromitovaných tokenov.
Zdroj: opennet.ru
