Η Google τρομοκρατεί την Ομοσπονδιακή Πρωτοβουλία Ασφαλείας Ανοικτού Κώδικα των ΗΠΑ

Η Google ρίχνει το σημαντικό της βάρος πίσω από ένα προτεινόμενο πλαίσιο πολιτικής υπό την ηγεσία των ΗΠΑ με στόχο την ενίσχυση της ασφάλειας για λογισμικό ανοιχτού κώδικα, προτρέποντας τον ιδιωτικό τομέα να υποστηρίξει την πρωτοβουλία.

Ο νόμος περί ασφαλούς λογισμικού ανοιχτού κώδικα που εισήχθη στη Γερουσία τον περασμένο μήνα [PDF]
είναι ένα δικομματικό νομοσχέδιο που θα δημιουργήσει ένα σχέδιο ασφάλειας και μετριασμού του κινδύνου για τη χρήση λογισμικού ανοιχτού κώδικα από την ομοσπονδιακή κυβέρνηση.

«Είμαστε στην ευχάριστη θέση να δούμε μια συνεχή έμφαση στη σημασία της ασφάλειας λογισμικού ανοιχτού κώδικα από την κυβέρνηση των ΗΠΑ και ελπίζουμε ότι τόσο οι δημόσιοι όσο και οι ιδιωτικοί οργανισμοί θα ακολουθήσουν το παράδειγμά τους για να προωθήσουν βελτιωμένη ασφάλεια στον κυβερνοχώρο για το οικοσύστημα γενικότερα», σημείωσε η Royal Hansen. , αντιπρόεδρος μηχανικής για την ομάδα εμπιστοσύνης και ασφάλειας της Google, σε ένα Ανάρτηση ιστολογίου 27 Οκτωβρίου.

Ο κώδικας λογισμικού ανοιχτού κώδικα, δηλαδή τα ελεύθερα διαθέσιμα δομικά στοιχεία για εφαρμογές όλων των λωρίδων, είναι ουσιαστικά η μηχανή που οδηγεί τη σύγχρονη ψηφιακή επιχείρηση. Αλλά κακόβουλο δραστηριότητα στον κυβερνοχώρο κατά της αλυσίδας εφοδιασμού λογισμικού έχει περιβόητη σπείρα τα τελευταία τρίμηνα, από SolarWinds
προς την Log4Shell
σε μια πληθώρα κακόβουλων και δηλητηριασμένων έργων και πακέτων που εμφανίζονται στο έμπιστο αποθετήρια κώδικα όπως το npm.

Ο Χάνσεν σημείωσε ότι «οι φαινομενικά απλές ερωτήσεις σχετικά με την αλυσίδα εφοδιασμού ανοιχτού κώδικα εξακολουθούν να είναι δύσκολο να απαντηθούν», όπως:

• Περιέχει ένα έργο γνωστά τρωτά σημεία;
• Ακολουθούν οι συντηρητές και η κοινότητα του έργου τις βέλτιστες πρακτικές ασφάλειας κατά την ανάπτυξη λογισμικού;
• Ποιες εξαρτήσεις ανοιχτού κώδικα αποτελούν μέρος ενός συγκεκριμένου λογισμικού;
• Πόσο ασφαλής ήταν η εφοδιαστική αλυσίδα διανομής;

Η Google εργάζεται ενεργά για το πρόβλημα, μέσω πρωτοβουλιών όπως επεκτείνοντας τις προσπάθειές της για bug-bounty σε ανοιχτό κώδικα. Η βιομηχανία έχει υπερασπιστεί προσεγγίσεις όπως λογαριασμούς υλικού λογισμικού (SBOM) και αυτοματοποιημένες αναθεωρήσεις κώδικα για να βοηθήσετε να πιάσετε ευάλωτα κομμάτια προτού διαδοθούν πολύ μακριά στο τοπίο. Η Google και άλλοι τεχνολογικοί γίγαντες έχουν επίσης επενδύσει εκατομμύρια σε μη κερδοσκοπικούς οργανισμούς και ιδρύματα λογισμικού όπως ο Open Source Security Foundation για την υποστήριξη δημιουργών ανοιχτού κώδικα. Από την πλευρά της πολιτικής, η κυβέρνηση των ΗΠΑ έχει αγκάλιασαν τα SBOM για πρακτορεία, μεταξύ άλλων κινήσεων.

Η νέα ομοσπονδιακή νομοθεσία, εάν εγκριθεί, θα ενθαρρύνει περισσότερες συμπράξεις δημόσιου και ιδιωτικού τομέα και θα φέρει τον δημόσιο τομέα στο τραπέζι με ακόμη πιο ουσιαστικούς τρόπους, σύμφωνα με το τεχνολογικό μεγαθήριο.

«Η διασφάλιση του λογισμικού ανοιχτού κώδικα είναι κοινή ευθύνη και ανυπομονούμε να συνεχίσουμε τη συνεργασία σε αυτό το επείγον, κρίσιμο πρόβλημα», δήλωσε ο Hansen.