Google patrocina revisiones de seguridad OSTIF de software crítico de código abierto

Deja el Boletín de OSS Enterprise conduce el tuyo abierto fuente ¡viaje! Registrate aquí.

Google está dando su apoyo financiero al Fondo de Mejora de Tecnología de Código Abierto (OSTIF), con planes para patrocinar revisiones de seguridad en un puñado de proyectos críticos de software de código abierto.

El software de código abierto juega un papel integral en la cadena de suministro de software y está integrado en muchas infraestructuras críticas y sistemas de seguridad nacionales. Sin embargo, los datos sugieren que los ataques “ascendentes” al software de código abierto han aumentado significativamente durante el último año. Además, después de que innumerables organizaciones, desde agencias gubernamentales hasta hospitales y empresas, se vieron afectadas por ataques dirigidos a la cadena de suministro de software, el presidente Biden emitió una orden ejecutiva en mayo que describe las medidas para combatirlo.

Fuente abierta

El anuncio de hoy se produce menos de un mes después de que Google anunciara un compromiso de seguridad cibernética de $ 10 mil millones para respaldar los planes del presidente Biden para fortalecer las defensas cibernéticas de EE. UU. Como parte de su inversión de cinco años, Google dijo que ayudaría a financiar expansiones del programa Zero Trust, proteger la cadena de suministro de software, mejorar la seguridad de código abierto y más.

Específicamente, Google ha prometido $ 100 millones a fundaciones de terceros que apoyan la seguridad de código abierto.

Los primeros frutos de este compromiso serán que Google financie el nuevo Programa de Auditoría Administrada (MAP) de OSTIF, con el objetivo de expandir sus revisiones de seguridad existentes a más proyectos. OSTIF, una organización sin fines de lucro fundada en 2015 para respaldar las auditorías de seguridad en tecnologías de código abierto, inicialmente identificó 25 proyectos para MAP, que dice identifica “la infraestructura digital más crítica”. A partir de ahí, priorizaron ocho bibliotecas, marcos y aplicaciones “que aprovecharían al máximo las mejoras de seguridad y tendrían el mayor impacto en el ecosistema de código abierto que depende de ellos”.

Estos ocho proyectos son: Git; Lodash; Laravel; Slf4j; Jackson-core y Jackson-databind; y Httpcomponents-core y Httpcomponents-client.

Vale la pena señalar que la inversión de Google no es un esfuerzo completamente altruista, ya que su software e infraestructura dependen en gran medida de componentes robustos de código abierto: el gigante de Internet ha anunciado una serie de iniciativas de seguridad similares relacionadas con el código abierto ya este año. En febrero, Google reveló que estaba patrocinando a los desarrolladores del kernel de Linux, por ejemplo, mientras que hace unos meses introdujo las capas de la cadena de suministro para artefactos de software (SLSA), que anuncia como un marco de trabajo de extremo a extremo para “garantizar la integridad de los artefactos de software a lo largo de la cadena de suministro de software La empresa también amplió recientemente su base de datos de vulnerabilidades de código abierto para cubrir Python, Rust, Go y DWF.

Aunque OSTIF está enfocando MAP en solo ocho proyectos por ahora, dijo que espera “hacer crecer significativamente las operaciones para respaldar cientos de proyectos en los próximos años”.