Google trombeta Iniciativa Federal de Segurança de Código Aberto dos EUA

A Google está a dar o seu peso considerável a uma proposta de quadro político liderado pelo governo dos EUA que visa reforçar a segurança do software de código aberto, instando o sector privado a apoiar a iniciativa.

A Lei de Proteção de Software de Código Aberto apresentada no Senado no mês passado [PDF]
é um projeto de lei bipartidário que criaria um plano de segurança e mitigação de riscos para o uso de software de código aberto pelo governo federal.

“Estamos satisfeitos por ver uma ênfase contínua na importância da segurança do software de código aberto por parte do governo dos EUA e esperamos que tanto as organizações públicas como privadas sigam o seu exemplo para promover uma melhor segurança cibernética para o ecossistema em geral”, observou Royal Hansen. , vice-presidente de engenharia da equipe de confiança e segurança do Google, em um Postagem no blog de 27 de outubro.

O código de software de fonte aberta, ou seja, os blocos de construção disponíveis gratuitamente para aplicações de todos os tipos, é fundamentalmente o motor que impulsiona as empresas digitais modernas. Mas malicioso atividade cibernética contra a cadeia de fornecimento de software teve uma espiral infame nos últimos trimestres, de SolarWinds
para Log4Shell
a uma cornucópia de projetos e pacotes maliciosos e envenenados surgindo em sites confiáveis repositórios de código como npm.

Hansen observou que “perguntas aparentemente simples sobre a cadeia de abastecimento de código aberto ainda são difíceis de responder”, incluindo:

• Um projeto contém vulnerabilidades conhecidas?
• Os mantenedores e a comunidade do projeto estão seguindo as práticas recomendadas de segurança durante o desenvolvimento de software?
• Quais dependências de código aberto fazem parte de um determinado software?
• Quão segura era a cadeia de abastecimento de distribuição?

O Google tem trabalhado ativamente no problema, por meio de iniciativas como estendendo seus esforços de recompensa por bugs para código aberto. A indústria tem defendido abordagens como listas de materiais de software (SBOMs) e revisões automatizadas de código para ajudar a detectar partes vulneráveis ​​antes que elas se propaguem muito pelo cenário. O Google e outros gigantes da tecnologia também investiram milhões em organizações sem fins lucrativos e fundações de software como a Fundação de segurança de código aberto para apoiar criadores de código aberto. Do lado político, o governo dos EUA abraçou SBOMs para agências, entre outras ações.

A nova legislação federal, se for aprovada, encorajará mais parcerias público-privadas e trará o sector público à mesa de forma ainda mais significativa, de acordo com o gigante da tecnologia.

“Garantir o software de código aberto é uma responsabilidade compartilhada e esperamos continuar a colaboração neste problema crítico e urgente”, disse Hansen.