Google nagovarja ameriško zvezno pobudo za odprtokodno varnost

Google se močno zavzema za predlagani politični okvir, ki ga vodi ameriška vlada in je namenjen krepitvi varnosti odprtokodne programske opreme, in poziva zasebni sektor, naj podpre pobudo.

Zakon o varovanju odprtokodne programske opreme, ki je bil predstavljen v senatu prejšnji mesec [PDF]
je dvostranski predlog zakona, ki bi ustvaril varnostni načrt in načrt za zmanjšanje tveganja za uporabo odprtokodne programske opreme s strani zvezne vlade.

"Veseli nas, da vlada ZDA nenehno poudarja pomen varnosti odprtokodne programske opreme in upamo, da bodo tako javne kot zasebne organizacije sledile njihovemu zgledu pri spodbujanju izboljšane kibernetske varnosti za ekosistem na splošno," je dejal Royal Hansen. , inženirski podpredsednik Googlove ekipe za zaupanje in varnost, v an Objava v spletnem dnevniku 27. oktober.

Odprtokodna programska koda, tj. prosto dostopni gradniki za aplikacije vseh vrst, je v osnovi motor, ki poganja sodobno digitalno podjetje. Ampak zlonamerno kibernetsko dejavnost proti dobavni verigi programske opreme se je v zadnjih nekaj četrtletjih neslavno spiralo, od SolarWinds
do Log4Shell
na rog izobilja zlonamernih in zastrupljenih projektov in paketov, ki se pojavljajo v trusted repozitorije kod, kot je npm.

Hansen je opozoril, da je "na navidezno preprosta vprašanja o odprtokodni dobavni verigi še vedno težko odgovoriti", vključno z:

• Ali projekt vsebuje znane ranljivosti?
• Ali vzdrževalci projekta in skupnost med razvojem programske opreme upoštevajo najboljše varnostne prakse?
• Katere odprtokodne odvisnosti so del določene programske opreme?
• Kako varna je bila distribucijska dobavna veriga?

Google se aktivno ukvarja s težavo s pobudami, kot je razširi svoja prizadevanja za nagrado za napake do odprtokodnega. Industrija je zagovarjala pristope, kot so seznami materiala programske opreme (SBOM) in avtomatizirani pregledi kode, ki pomagajo ujeti ranljive dele, preden se razširijo predaleč po pokrajini. Google in drugi tehnološki velikani so prav tako vložili milijone v neprofitne organizacije in fundacije za programsko opremo, kot je Open Source Security Foundation za podporo odprtokodnim ustvarjalcem. Kar zadeva politiko, je vlada ZDA sprejeli SBOM med drugim za agencije.

Nova zvezna zakonodaja, če bo sprejeta, bo spodbudila več javno-zasebnega partnerstva in pripeljala javni sektor k mizi na še bolj smiselne načine, pravi tehnološki velikan.

"Zaščita odprtokodne programske opreme je skupna odgovornost in veselimo se nadaljnjega sodelovanja pri tej nujni, kritični težavi," je dejal Hansen.