IBM och Red Hat har meddelat lanseringen av initiativet Project Lightwell, där företagen avser att investera 5 miljarder dollar i skyddet av öppen källkod och mjukvaruleveranskedjor. Projektet presenteras som ett "betrodat koordineringscenter" för att identifiera, verifiera och åtgärda sårbarheter i open source-komponenter som används av företagskunder.
Essens Project Lightwell — att sprida Red Hats traditionella modell för support av företagsöppen källkod utanför sina egna produkter. Tidigare testade företaget, signerade, levererade och skickade upstream-korrigeringar främst för komponenterna i sina plattformar, men nu vill man tillämpa den här metoden på ett bredare utbud av beroenden: oberoende bibliotek, språkverktyg, AI-ramverk och plattformar för datastreaming.
Enligt IBM och Red Hat kommer företagskunder att kunna rapportera om funna säkerhetsproblem i specifika versioner av den mjukvara de använder, få verifierade korrigeringar och integrera dem i sina befintliga bygg- och leveranskedjor. Red Hat påpekar särskilt att kunder kommer att kunna styra sina byggverktyg, inklusive Artifactory, Nexus eller Maven, till en skyddad register hos Red Hat; efter det kommer företaget att skanna, backporta, testa, signera och leverera de korrigerade artefakterna för låsta versioner av paketen.
Project Lightwell kommer att erbjudas som en kommersiell prenumeration. Reuters med hänvisning till senior vice president för IBM Software Rob Thomas skriver att tjänsten förväntas bli kommersiellt tillgänglig "inom de närmaste 30 dagarna", och att priset sannolikt kommer att bero på antalet använda paket. Enligt IBM kommer kunder att få en form av bekräftelse från clearinghuset att deras open source-komponenter är säkra att använda i produktion.
Projektet har över 20 000 ingenjörer från IBM och Red Hat, samt användning av AI för massanalys av sårbarheter, sortering, prioritering och verifiering av korrigeringar. Samtidigt betonar Red Hat att AI ses som ett verktyg för att påskynda den initiala bearbetningen av data, medan kritiska beslut bör kvarstå hos ingenjörerna som har förståelse för sammanhanget av upstream-utveckling, kompatibilitet med backports och procedurer för ansvarsfull upplysning av sårbarheter.
De första deltagarna i Project Lightwell var stora finansorganisationer, inklusive Bank of America, BNY, Citi, Goldman Sachs, JPMorganChase, Mastercard, Morgan Stanley, Royal Bank of Canada, State Street, Visa och Wells Fargo. Vid dessa implementeringar planerar IBM och Red Hat att arbeta med processerna för att identifiera, verifiera och åtgärda sårbarheter i komplexa produktionskedjor för mjukvara.
IBM betonar särskilt problemets omfattning: företaget använder själv mer än 62 000 open source-paket och påstår sig ha djup expertis inom mer än 10 000 av dem. Som exempel på områden där IBM och Red Hat redan har samlat kompetens nämns Linux, Java, Kubernetes, Kafka, Ansible, Terraform, Flink och Cassandra.
Faktiskt verkar Project Lightwell som ett försök att göra hanteringen och verifikationen av open source-beroenden till en separat företagsprodukt. För samhället blir en viktig fråga hur snabbt korrigeringarna faktiskt kommer att gå till upstream, snarare än att stanna inom IBM/Red Hats betalade krets. I projektets officiella beskrivning lovar företagen att de samtidigt ska leverera verifierade korrigeringar till kunder och överföra patchar till öppna projekt genom en ansvarsfull avslöjandeprocedur.
Källa: linux.org.ru
