گوگل وزن قابل توجه خود را پشت سر چارچوب سیاست پیشنهادی دولت ایالات متحده با هدف تقویت امنیت نرم افزار منبع باز می اندازد و از بخش خصوصی می خواهد که از این طرح حمایت کند.
قانون نرم افزار منبع باز ایمن ماه گذشته در سنا معرفی شد [PDF]
یک لایحه دو حزبی است که یک طرح امنیتی و کاهش خطر برای استفاده دولت فدرال از نرم افزار منبع باز ایجاد می کند.
رویال هانسن خاطرنشان کرد: ما خوشحالیم که دولت ایالات متحده تاکید مداوم بر اهمیت امنیت نرم افزار منبع باز را مشاهده می کند و امیدواریم که سازمان های دولتی و خصوصی از راه خود برای ارتقاء امنیت سایبری برای اکوسیستم به طور کلی پیروی کنند. ، معاون مهندسی تیم اعتماد و ایمنی Google، در یک پست وبلاگ 27 اکتبر.
کد نرم‌افزار منبع باز، یعنی بلوک‌های سازنده آزادانه در دسترس برای برنامه‌های کاربردی در همه راه‌ها، اساساً موتوری است که شرکت‌های دیجیتال مدرن را به پیش می‌برد. اما بدخواه فعالیت سایبری علیه زنجیره تامین نرم افزار به طرز بدنامی در چند چهارم گذشته، از SolarWinds
به Log4Shell
به انبوهی از پروژه ها و بسته های مخرب و مسموم که در موارد قابل اعتماد ظاهر می شوند مخازن کد مانند npm.
هانسن خاطرنشان کرد که پاسخ به سؤالات به ظاهر ساده در مورد زنجیره تأمین منبع باز هنوز دشوار است، از جمله:
- آیا یک پروژه دارای آسیب پذیری های شناخته شده است؟
- آیا نگهبانان پروژه و جامعه از بهترین شیوه های امنیتی در طول توسعه نرم افزار پیروی می کنند؟
- چه وابستگی های منبع باز بخشی از یک نرم افزار خاص هستند؟
- زنجیره تامین توزیع چقدر امن بود؟
گوگل فعالانه روی این مشکل کار کرده است، از طریق ابتکاراتی مانند تلاش های خود را برای رفع اشکالات گسترش می دهد به منبع باز این صنعت از رویکردهایی مانند صورتحساب های مواد نرم افزاری (SBOM) و بازبینی کدهای خودکار برای کمک به گرفتن قطعات آسیب‌پذیر قبل از انتشار بیش از حد در چشم‌انداز. گوگل و سایر غول های فناوری نیز میلیون ها دلار در سازمان های غیرانتفاعی و بنیادهای نرم افزاری مانند این سرمایه گذاری کرده اند بنیاد امنیت منبع باز برای حمایت از سازندگان منبع باز در سمت سیاست، دولت ایالات متحده این کار را کرده است SBOM ها را پذیرفتند برای آژانس ها، در میان سایر حرکت ها.
به گفته این غول فناوری، قانون جدید فدرال، در صورت تصویب، مشارکت عمومی-خصوصی بیشتری را تشویق می‌کند و بخش عمومی را به روش‌های معنادارتری به میز مذاکره می‌آورد.
هانسن گفت: "ایمن سازی نرم افزار منبع باز یک مسئولیت مشترک است و ما مشتاقانه منتظر ادامه همکاری در مورد این مشکل فوری و حیاتی هستیم."
