Keamanan Rantai Pasokan Perangkat Lunak Membutuhkan Gambaran Lebih Besar

Labirin rumit dari ketergantungan open source di seluruh rantai pasokan perangkat lunak global telah menciptakan teka-teki keamanan aplikasi dengan proporsi yang sangat besar. Apakah open source atau tertutup, sebagian besar perangkat lunak dunia saat ini dibangun di atas komponen dan pustaka pihak ketiga. Konsekuensinya, satu bagian dari kode yang rentan bahkan dalam proyek sumber terbuka terkecil sekalipun dapat memiliki efek domino yang berdampak pada ribuan aplikasi lain, API, komponen infrastruktur cloud, dan banyak lagi.

Masalah ini menjadi salah satu masalah keamanan CISO yang paling mendesak saat ini, dan pada tingkat perusahaan individual, organisasi bekerja keras menanganinya dengan proyek seperti membangun perangkat lunak tagihan bahan (SBOM), menetapkan standar manajemen keamanan sumber terbuka, dan membuat pagar teknis untuk pengembang untuk mengikuti mereka

Namun upaya ini belum tentu menyelesaikan masalah pada tataran yang lebih sistemik. Menurut banyak ahli di komunitas open source, untuk membuat penyok terbesar dalam rantai pasokan hilir, lebih banyak upaya perlu dilakukan untuk membantu pengelola proyek open source membersihkan kode mereka.

Ini adalah tujuan dari Proyek Alfa-Omega. Akan mencapai peringatan satu tahunnya bulan depan, Alpha-Omega adalah proyek keamanan gambar besar yang disatukan oleh Open Source Security Foundation (OpenSSF) dan organisasi induknya, Linux Foundation untuk mengatasi masalah mendasar dalam keamanan rantai pasokan perangkat lunak.

Grafik alfa sisi proyek difokuskan pada kolaborasi dengan pengelola proyek sumber terbuka yang paling penting untuk rantai pasokan yang lebih luas — termasuk yang terkenal seperti node dan jQquery — untuk membantu mereka meningkatkan postur keamanan kode mereka. Ini adalah proyek yang dipilih langsung oleh kelompok kerja OpenSSF Securing Critical Projects menggunakan pendapat ahli dan data dari tolok ukur seperti Open SSF Criticality Score untuk menentukan proyek dengan dampak hilir terbesar.

Grafik akhir sisi proyek beralih ke ujung panjang keamanan rantai pasokan perangkat lunak, menggunakan otomatisasi dan perkakas untuk mengidentifikasi kerentanan keamanan kritis di kisaran 10,000 proyek sumber terbuka yang digunakan secara luas. Ini adalah upaya untuk meningkatkan perbaikan kelemahan yang paling rendah dan paling jelas yang menyebar di seluruh rantai pasokan.

Didanai awalnya oleh Google dan Microsoft, dengan rantai alat tambahan dan dukungan personel dari raksasa keuangan Citi, Alpha-Omega menutup tahun 2022 dengan mendapatkan tambahan $2.5 juta dari AWS. Lebih penting lagi, proyek ini bersiap untuk tahun 2023 dengan dua karyawan penting baru—Yesenia Yser, mantan insinyur keamanan produk untuk Red Hat dan Jonathan Leitschuh, yang baru saja menyelesaikan tugas satu tahun sebagai Dan Kaminsky Fellow pertama untuk Keamanan Manusia. Yser masuk sebagai insinyur keamanan perangkat lunak senior dan Leitschuh akan melanjutkan penelitiannya mengotomatiskan penelitian keamanan sumber terbuka dan remediasi sebagai peneliti keamanan perangkat lunak senior.

Tahun Pertama Proyek Alpha-Omega

Proyek ini adalah salah satu dari beberapa proyek keamanan profil tinggi yang dipelopori dan digalang dana oleh OpenSSF dan Linux Foundation dalam satu tahun terakhir untuk mengatasi masalah sistemik dalam keamanan open source. Mengikuti model sukses organisasi untuk pendanaan cepat dan tindakan pada proyek keamanan, Alpha-Omega telah membuat kemajuan di sejumlah bidang yang signifikan.

Menurut laporan tahunan pertama proyek tersebut, proyek tersebut telah terlibat dengan lima proyek sumber terbuka yang berbeda: Node.js, Eclipse Foundation, Rust Foundation, jQuery, dan Python Software Foundation. Selama tahun 2022, Alpha-Omega membagikan $1.5 juta dalam bentuk hibah untuk berbagai proyek, termasuk $460,000 ke Rust Foundation, $400,000 ke Eclipse Foundation, dan $300,000 ke Node.js. Dalam kasus Node, dukungan itu membantunya mengaktifkan kembali Kelompok Kerja Keamanan Node dan membuatnya bekerja pada model keamanan dan ancaman untuk Node.js, dan mendorong triase 20 laporan kerentanan berbeda di seluruh basis kode proyek.

Selain itu, Alpha-Omega baru-baru ini merilis versi awal dari Omega Analysis Toolchain, yang mengatur 27 penganalisa keamanan yang berbeda untuk mengidentifikasi kerentanan kritis dalam paket open source. Proyek ini juga merilis sejumlah alat eksperimental, termasuk portal triase untuk membuat penelitian dan pelaporan keamanan menjadi lebih efisien.

Untuk tahun kedua, proyek berencana untuk mempercepat pekerjaan di sisi rumah Omega.

Apa yang Dimiliki 2023 untuk Proyek

Penambahan Yser dan Leitschuh ke Proyek Alpha-Omega tidak hanya akan menanamkan lebih banyak kekuatan otak, waktu, dan bakat ke dalam upaya yang ada, tetapi juga banyak antusiasme untuk menggerakkan jarum pada keamanan open source.

“Perangkat lunak open source ada di setiap peralatan yang digunakan saat ini, mulai dari otomotif, pesawat terbang, telepon, pelacak, dan bahkan sistem utilitas,” kata Yser, yang memiliki akar mendalam di DevSecOps dan dunia rantai pasokan perangkat lunak. Dalam posisinya di Red Hat, dia adalah pemimpin teknis operasi rantai pasokan. “Visi untuk proyek ini memiliki dampak global dalam meningkatkan postur keamanan perangkat lunak sumber terbuka, keamanan rantai pasokan, dan kehidupan orang-orang di seluruh dunia.”

Dia akan bekerja secara langsung untuk meningkatkan rantai alat Omega dan portal triase untuk membantu merekayasa peningkatan dalam cara proyek dan dampak kerentanan dianalisis dan diprioritaskan untuk mitigasi.

“Untuk rantai alat Omega, tujuan tahun ini adalah memiliki sistem yang dapat dioperasionalkan yang dapat dimanfaatkan oleh pengelola atau pengembang,” katanya. “Untuk Triage Portal, tujuannya adalah untuk mendukung kemampuan peneliti untuk melakukan triase temuan yang ditemukan dengan mengimpor laporan SARIF ke portal dan menangani penyelidikan mereka di dalam sistem. Sistem akan tetap terbatas pada tim Alpha-Omega sampai disebutkan sebaliknya, namun berkat perangkat lunak sumber terbuka, peneliti dapat menjalankan instans mereka sendiri dan mengirimkan permintaan penarikan ke repositori dan mendukung keseluruhan misi.”

Dia akan bekerja sama erat dengan Leitschuh, yang membawa pengalaman signifikan dan sangat baru untuk diterapkan di bidang penskalaan dan perbaikan otomatisasi di seluruh proyek sumber terbuka. Dia menghabiskan persekutuan tahun lalu untuk mengerjakan masalah yang tepat ini. Tujuannya adalah untuk melanjutkan pekerjaan yang dia lakukan di sana dan menggunakan apa yang dia pelajari untuk melanjutkan misinya untuk membasmi kelemahan yang paling umum dan berdampak yang mengintai di banyak proyek open source.

“Kita mungkin tidak tahu di mana pasak kecil yang menahan keberadaan seluruh industri perangkat lunak,” katanya. “Itu bisa menjadi salah satu perangkat lunak kecil yang memiliki 15 bintang di GitHub yang tidak diketahui siapa pun, tetapi itu menahan seluruh Internet. Jadi bagaimana kami mengamankan proyek-proyek yang tidak diketahui siapa pun, tetapi entah bagaimana merupakan hal mendasar bagi seluruh rantai pasokan?

Dia mengatakan pekerjaannya selama persekutuan membantunya lebih jauh masuk ke ceruknya tidak harus terlalu mendalam pada satu kerentanan keamanan, melainkan melihat jenis kerentanan tertentu dan mengembangkan cara otomatis untuk menemukan kelemahan yang sama di banyak tempat berbeda. di seluruh ekosistem open source. Ini sangat cocok dengan etos Omega, yang membawanya ke pertunjukan terbarunya.

Dia akan terus mendukung penyempurnaan metode otomatis untuk mengatasi kelemahan dalam analisis Aliran Data dan Kontrol serta pembuatan permintaan tarik otomatis. Tapi dia juga akan melanjutkan pekerjaan kolaborasi yang sangat manual. Salah satu pelajaran penting yang dia pelajari tahun lalu adalah bahwa banyak pekerjaan di depan dia dan tim Alpha-Omeganya belum tentu bersifat teknis. Ini dalam membangun hubungan dengan pengelola untuk membantu mereka melihat bagaimana kadang-kadang bahkan perbaikan sederhana untuk proyek mereka dapat berdampak besar pada postur keamanan rantai pasokan perangkat lunak global.

“Para ahli teknologi dan perangkat lunak, kami tidak selalu menyukai elemen manusia — lebih mudah bagi kami untuk duduk dan menulis sebaris kode yang mendeteksi benda ini dan melemparkannya ke dinding daripada bagi kami untuk terlibat dengan orang yang sebenarnya. dan coba meyakinkan mereka bahwa ini adalah hal yang layak diperbaiki, ”katanya.

Dia menjelaskan bagaimana satu contoh tahun lalu menggambarkan hal ini dengan sempurna. Dalam hal ini dia bekerja dengan pengelola Parser YAML yang memiliki cacat eksekusi kode jarak jauh berusia enam tahun yang berdampak besar pada hilir. Untuk waktu yang lama ketika Leitschuh mendekatinya tentang hal itu, pengelola mengatakan kepadanya, “Jangan percayai YAML yang tidak dipercaya. Ini bukan kerentanan saya.”

Akhirnya, setelah mendudukkan pengelola dalam panggilan video dengan banyak debat teknis, Leitschuh dapat menunjukkan kepadanya bahwa perubahan yang dia minta sangat sempit dan dapat berdampak besar.

“Jadi dia sekarang bersedia untuk memperbaiki kerentanan eksekusi kode jarak jauh berusia enam tahun ini di Parser YAML ini karena seseorang seperti saya akhirnya duduk bersamanya di panggilan video, dan berbicara dengannya untuk meyakinkannya hal minimal yang dia perlu dilakukan untuk membuatnya lebih aman, ”katanya.

Sementara Leitschuh dapat secara otomatis memperbaiki kerentanan di bagian hilir, perbaikan yang lebih elegan adalah melakukan diskusi ini.

“Saya pikir layak bagi saya untuk duduk dan menghabiskan waktu berfokus pada perangkat lunak yang satu ini untuk mencoba meyakinkan pengelola ini. Memiliki percakapan itu adalah apa yang akan memiliki dampak positif yang lebih luas secara besar-besaran di seluruh industri, ”katanya. “Pada saat itu Anda hanya perlu sepatu bot di lapangan. Anda membutuhkan orang yang tahu apa yang mereka bicarakan untuk duduk dan menghabiskan waktu yang diperlukan untuk terlibat dengan orang yang sebenarnya.”

• Konten Bertenaga SEO & Distribusi PR. Dapatkan Amplifikasi Hari Ini.
• Platoblockchain. Intelijen Metaverse Web3. Pengetahuan Diperkuat. Akses Di Sini.
• Sumber: https://www.darkreading.com/dr-tech/software-supply-chain-security-needs-bigger-picture