Google Trumpets US Federal Open Source Security Initiative

Google käyttää huomattavaa painoarvoaan ehdotetun Yhdysvaltain hallituksen johtaman politiikan takana, jonka tavoitteena on parantaa avoimen lähdekoodin ohjelmistojen turvallisuutta, ja kehottaa yksityistä sektoria tukemaan aloitetta.

Securing Open Source Software Act esiteltiin senaatissa viime kuussa [PDF]
on kahden puolueen lakiesitys, joka luo turvallisuus- ja riskienhallintasuunnitelman liittovaltion avoimen lähdekoodin ohjelmistojen käyttöön.

"Olemme iloisia nähdessämme, että Yhdysvaltain hallitus korostaa jatkuvasti avoimen lähdekoodin ohjelmistojen turvallisuutta, ja toivomme, että sekä julkiset että yksityiset organisaatiot seuraavat heidän esimerkkiään edistääkseen parempaa kyberturvallisuutta koko ekosysteemille", totesi Royal Hansen. , Googlen luottamus- ja turvallisuustiimin suunnittelujohtaja 27. lokakuuta blogikirjoitus.

Avoimen lähdekoodin ohjelmistokoodi, eli vapaasti saatavilla olevat rakennuspalikat kaikentyyppisille sovelluksille, on pohjimmiltaan moottori, joka ajaa nykyaikaista digitaalista yritystä. Mutta ilkeä tietoverkkotoiminta ohjelmistojen toimitusketjua vastaan on kiihtynyt pahamaineisesti muutaman viime vuosineljänneksen aikana, alkaen SolarWinds
että Log4Shell
haitallisten ja myrkytettyjen projektien ja pakettien runsaudensarviin, jotka avautuvat luotetuissa koodivarastot, kuten npm.

Hansen huomautti, että "näennäisesti yksinkertaisiin kysymyksiin avoimen lähdekoodin toimitusketjusta on edelleen vaikea vastata", mukaan lukien:

• Sisältääkö projekti tunnettuja haavoittuvuuksia?
• Noudattavatko projektin ylläpitäjät ja yhteisö tietoturvan parhaita käytäntöjä ohjelmistokehityksen aikana?
• Mitkä avoimen lähdekoodin riippuvuudet ovat osa tiettyä ohjelmistoa?
• Kuinka turvallinen jakelun toimitusketju oli?

Google on työskennellyt aktiivisesti ongelman parissa mm laajentaa bug-bounty-ponnistelujaan avoimeen lähdekoodiin. Teollisuus on puolustanut sellaisia ​​lähestymistapoja ohjelmistojen materiaalilaskut (SBOM) ja automaattiset kooditarkistukset, jotka auttavat löytämään haavoittuvia kappaleita ennen kuin ne leviävät liian pitkälle maisemassa. Google ja muut teknologiajätit ovat myös investoineet miljoonia voittoa tavoittelemattomiin järjestöihin ja ohjelmistosäätiöihin Open Source Security Foundation tukemaan avoimen lähdekoodin tekijöitä. Poliittisella puolella Yhdysvaltain hallitus on omaksuivat SBOM:t virastoille mm.

Uusi liittovaltiolainsäädäntö, jos se menee läpi, rohkaisee lisää julkisen ja yksityisen sektorin kumppanuutta ja tuo julkisen sektorin pöytään entistä mielekkäämmillä tavoilla, tekniikan johtajan mukaan.

"Avoimen lähdekoodin ohjelmistojen suojaaminen on yhteinen vastuu, ja odotamme jatkuvaa yhteistyötä tämän kiireellisen, kriittisen ongelman ratkaisemiseksi", Hansen sanoi.