Google Trumpets Federalna Inicjatywa Bezpieczeństwa Open Source w USA

Google w znacznym stopniu wspiera proponowane ramy polityki kierowane przez rząd USA, mające na celu wzmocnienie bezpieczeństwa oprogramowania typu open source, wzywając sektor prywatny do wsparcia tej inicjatywy.

W zeszłym miesiącu w Senacie wprowadzono ustawę o zabezpieczaniu oprogramowania open source [PDF]
to ponadpartyjny projekt ustawy, który stworzyłby plan bezpieczeństwa i ograniczania ryzyka w zakresie korzystania przez rząd federalny z oprogramowania typu open source.

„Cieszymy się, że rząd USA stale podkreśla znaczenie bezpieczeństwa oprogramowania typu open source i mamy nadzieję, że zarówno organizacje publiczne, jak i prywatne pójdą ich śladem, aby promować poprawę cyberbezpieczeństwa w całym ekosystemie” – zauważył Royal Hansen , wiceprezes ds. technicznych zespołu ds. zaufania i bezpieczeństwa Google, w: Wpis na blogu z 27 października.

Kod oprogramowania typu open source, tj. swobodnie dostępne elementy składowe aplikacji wszelkiego rodzaju, jest zasadniczo silnikiem napędzającym nowoczesne przedsiębiorstwa cyfrowe. Ale złośliwy aktywność cybernetyczną przeciwko łańcuchowi dostaw oprogramowania notuje gwałtowny wzrost w ciągu ostatnich kilku kwartałów, od SolarWinds
do Log4Shell
do róg obfitości złośliwych i zatrutych projektów i pakietów pojawiających się w zaufanych repozytoria kodu, takie jak npm.

Hansen zauważył, że „na pozornie proste pytania dotyczące łańcucha dostaw open source nadal trudno jest odpowiedzieć”, w tym:

• Czy projekt zawiera znane luki?
• Czy opiekunowie projektu i społeczność przestrzegają najlepszych praktyk w zakresie bezpieczeństwa podczas tworzenia oprogramowania?
• Jakie zależności open source są częścią konkretnego oprogramowania?
• Jak bezpieczny był łańcuch dostaw dystrybucji?

Google aktywnie pracuje nad tym problemem, podejmując takie inicjatywy jak rozszerza swoje wysiłki w zakresie nagród za błędy do otwartego źródła. Branża opowiada się za takimi podejściami jak zestawienia komponentów oprogramowania (SBOM) oraz zautomatyzowane przeglądy kodu, które pomagają wyłapać wrażliwe fragmenty, zanim rozprzestrzenią się zbyt daleko w krajobrazie. Google i inni giganci technologiczni zainwestowali także miliony w organizacje non-profit i fundacje zajmujące się oprogramowaniem, takie jak Fundacja Bezpieczeństwa Open Source aby wspierać twórców open source. Jeśli chodzi o politykę, zrobił to rząd USA przyjął SBOM dla agencji, między innymi.

Według technologicznego kolosa nowe ustawodawstwo federalne, jeśli zostanie przyjęte, będzie zachęcać do większej liczby partnerstw publiczno-prywatnych i jeszcze bardziej znaczący wpływ na sektor publiczny.

„Zabezpieczenie oprogramowania typu open source to nasza wspólna odpowiedzialność i nie możemy się doczekać dalszej współpracy nad tym pilnym, krytycznym problemem” – powiedział Hansen.