Fond OpenSSF (Open Source Security Foundation) predstavil projekt Alpha-Omega, zameraný na zvýšenie bezpečnosti otvoreného softvéru. Počiatočné investície vo výške 5 miliónov dolárov a personál na spustenie iniciatívy poskytnú spoločnosti Google a Microsoft. Na účasť sa taktiež pozývajú ďalšie organizácie, ktoré môžu prispieť buď poskytovaním inžinierskych zdrojov alebo na úrovni financovania, čo pomôže rozšíriť počet otvorených projektov, na ktoré sa iniciatíva vzťahuje. Okrem toho, na konci minulého roka bolo na činnosť Fondu OpenSSF vyčlenených 10 miliónov dolárov, či budú tieto prostriedky použité pre iniciatívu Alpha-Omega, nie je špecifikované.
Projekt Alpha-Omega sa skladá z dvoch častí:
- Časť Alpha zahŕňa vykonanie ručného auditu bezpečnosti 200 široko používaných otvorených projektov, najpopulárnejších z pohľadu ich využitia v podobe závislostí alebo v prvkoch infraštruktúry. Práca sa bude vykonávať v spolupráci so správcami a bude obsahovať systematickú analýzu kódu za účelom identifikácie nových zraniteľností a ich okamžitého opravenia.
- Časť Omega je zameraná na vykonanie automatizovaného testovania 10 000 najpopulárnejších otvorených projektov. Na vykonávanie testovania, zlepšovanie použitých metód, analýzu výsledkov kontroly, sprostredkovanie informácií vývojárom projektov a koordináciu spoločnej práce na odstránení kritických problémov bude vytvorený samostatný tím inžinierov. Hlavnou úlohou tohto tímu bude filtrovať falošné poplachy a identifikovať v automatizovaných správach reálne zraniteľnosti.
Nezbytnosť ručného auditu v fáze Alpha je podmienená potrebou identifikovať skryté problémy, ktoré je problematické odhaliť počas automatizovaného testovania. Ako príklad takýchto problémov sa uvádzajú nedávne kritické zraniteľnosti v Log4j, ktoré ohrozili infraštruktúry veľkého množstva veľkých spoločností. Projekty na audit budú vybrané na základe odporúčaní expertného spoločenstva a údajov z predtým vytvorených hodnotení Critically Score a Census.
Pripomíname, že Fond OpenSSF bol vytvorený pod záštitou organizácie Linux Foundation a sústreďuje sa na činnosti ako koordinované zverejňovanie informácií o zraniteľnostiach, šírenie opráv, vývoj nástrojov na zabezpečenie, publikovanie najlepších praktík pre bezpečnú organizáciu vývoja, identifikáciu hrozieb súvisiacich so zabezpečením v otvorenom softvéri, vykonávanie auditu a posilnenie bezpečnosti kritických otvorených projektov, a vytváranie prostriedkov na overenie identity vývojárov. OpenSSF pokračuje v rozvoji iniciatív ako Core Infrastructure Initiative a Open Source Security Coalition a spája aj ďalšie súvisiace aktivity súvisiace so zabezpečením, podnikané spoločnosťami zapojenými do projektu. Medzi zakladajúce spoločnosti OpenSSF patrí Google, Microsoft, Amazon, Cisco, Dell Technologies, Ericsson, Facebook, Fidelity, GitHub, IBM, Intel, JPMorgan Chase, Morgan Stanley, Oracle, Red Hat, Snyk a VMware.
Zdroj: opennet.ru
