Google Trumpets Inițiativa federală de securitate open source din SUA

Google își acordă greutatea considerabilă în spatele unui cadru de politică propus de guvernul SUA, menit să susțină securitatea software-ului open source, îndemnând sectorul privat să susțină inițiativa.

Actul Securing Open Source Software a fost introdus în Senat luna trecută [PDF]
este un proiect de lege bipartizan care ar crea un plan de securitate și de reducere a riscurilor pentru utilizarea de către guvernul federal a software-ului open source.

„Suntem bucuroși să vedem un accent continuu pe importanța securității software cu sursă deschisă din partea guvernului SUA și sperăm că atât organizațiile publice, cât și cele private își vor urma exemplul pentru a promova securitatea cibernetică îmbunătățită pentru ecosistem în general”, a menționat Royal Hansen. , vicepreședinte de inginerie pentru echipa de încredere și siguranță a Google, într-un Postare pe blog din 27 octombrie.

Codul software cu sursă deschisă, adică blocurile de bază disponibile gratuit pentru aplicații de toate liniile, este în mod fundamental motorul care conduce întreprinderea digitală modernă. Dar răutăcios activitatea cibernetică împotriva lanțului de aprovizionare cu software a crescut infam în spirală în ultimele trimestre, de la SolarWinds
la Log4shell.
la o abundență de proiecte și pachete rău intenționate și otrăvite care apar în încredere depozite de cod, cum ar fi npm.

Hansen a remarcat că „întrebările aparent simple despre lanțul de aprovizionare cu sursă deschisă sunt încă dificil de răspuns”, inclusiv:

• Un proiect conține vulnerabilități cunoscute?
• Susținătorii proiectului și comunitatea respectă cele mai bune practici de securitate în timpul dezvoltării software?
• Ce dependențe open source fac parte dintr-o anumită bucată de software?
• Cât de sigur a fost lanțul de distribuție?

Google a lucrat activ la această problemă, prin inițiative precum extinzându-și eforturile de recompensă la sursa deschisă. Industria a susținut abordări precum liste de materiale software (SBOM) și revizuiri automate de cod pentru a ajuta la prinderea pieselor vulnerabile înainte ca acestea să se propagă prea departe în peisaj. Google și alți giganți ai tehnologiei au investit milioane în organizații nonprofit și fundații de software, cum ar fi Open Source Security Foundation pentru a sprijini creatorii open source. Din punct de vedere politic, guvernul SUA a făcut-o a îmbrățișat SBOM-urile pentru agenții, printre alte mișcări.

Noua legislație federală, dacă va fi adoptată, va încuraja mai mult parteneriatul public-privat și va aduce sectorul public la masă în moduri și mai semnificative, potrivit gigantului tehnologic.

„Securizarea software-ului open-source este o responsabilitate comună și așteptăm cu nerăbdare continuarea colaborării cu privire la această problemă urgentă și critică”, a spus Hansen.