Povjernici zaklade Linux Fondacije imaju za cilj boriti se protiv rastućih sigurnosnih prijetnji otvorenog koda

Kôd otvorenog koda postao je vektor zlonamjernog softvera. Na primjer, od strane najbližeg brijanja, programer otvorenog koda otkrio je da je Jia Tan, glavna programer i održavatelj Linux XZ biblioteke za kompresiju podataka, također haker koji je stavio stražnju stranu koda kako bi napadači omogućili preuzeti Linux sustave. Jedan od korijenskih problema? Nitko nije znao tko je Tan. Još uvijek ne znamo.

Jim Zemlin, izvršni direktor zaklade Linux, bavio se ovim temeljnim problemom identiteta programera na Samit članova Linux Foundation u Napi, ca. Zemlin je otvorio svoj razgovor rekavši: “Otvoreni izvor sada je temeljni građevni blok svih modernih računanja, a hakeri obraćaju pažnju. Pored toga, vidjeli smo čitavu gomilu novih propisa oko otvorenog koda, poput Europske unije Zakon o cyber otpornosti (CRA). Dan kada je softver otvorenog koda imao minimalan nadzor vjerojatno završava. “

Također: najnovije partnerstvo Linux Foundation moglo bi se otresti u ekosustavima otvorenog koda

Stvaranje stvari još složenijim, živimo u vremenu kada se događa “geopolitička napetost, porast tehno-nacionalizma. Međutim, zaklada Linux želi sačuvati našu sposobnost da bilo tko sudjeluje u otvorenom kolu s bilo kojeg mjesta na zemlji.”

Taj je cilj lakše reći nego učiniti. Zemlin je naglasio da je, iako je sigurnost presudna, povjerenje podjednako važno. Povjerenje ne uključuje samo osiguravanje da je softver siguran, već i provjeravanje identiteta i namjere suradnika.

Kako bi se riješio ovih izazova, Zemlin je predložio razvoj decentraliziranog sustava povjerenja, uključujući i “Trust Scorecard” sličnu postojećem Fondacija softvera otvorenog koda (OpenSSF) ScoreCards. Ovaj bi sustav pomogao korisnicima da procijene pouzdanost projekata otvorenog koda na temelju čimbenika poput provjere doprinosa i povijesti projekata.

U takvom su sustavu ljudi trebali zaraditi razinu povjerenja prije nego što bi mogli porasti na položaj održavanja velikog projekta. Čimbenici koji bi mogli ući u ovu ocjenu uključuju dokaz identiteta, povijest doprinosa projekta, kvalitetu koda, povijest sigurnosti i reputaciju zajednice.

Također: što se dogodilo u računalnom klubu Homebrew prije 50 godina: Apple je rođen, a počela je revolucija

Tako, na primjer, koristeći takav sustav povjerenja, uspoređujući Tan s Gregom Kroah-Hartmanom, dobro poznatim održavačem stabilnog Linux kernela, vidjeli bismo da će Tan jedva stići na razinu 1, a ne bi nam bilo što vjerovao ni sa čim, dok Kroah-Hartman ima savršenu ocjenu.

Da bi izgradio takav sustav, Linux Foundation istražuje projekt prve osobe, koji ima za cilj uspostaviti decentralizirani vjerodajnički sustav pomoću blockchain tehnologije. Ovaj bi sustav omogućio suradnicima da provjere svoj identitet uz očuvanje anonimnosti.

Voditelji projekta postavili bi politike povjerenja. Na primjer, oni bi mogli osigurati da njihovi suradnici ispune određene kriterije, poput provjerenog zapošljavanja ili posjećenosti na industrijskim događajima.

Jedna skupina, Linux Kernel Suimiters, već koristi ovaj sustav. Nakon kršenja sigurnosnog broja Linux koda 2011. godine, posada Linux koristi a Prilično dobar sustav potpisivanja privatnosti (PGP) kako bi se osiguralo da je bilo koji novi kôd od poznatog programera.

Također: traženje najnovijeg u Linuxu? Postoji pravi način i pogrešan način korištenja distrowatch -a

Međutim, ovaj sustav ne funkcionira tako dobro, kao što mi je Kroah-Hartman rekao na samitu članova i rekao da zaboravim na skaliranje ovog “prstena povjerenja. Mrzimo ga i jadno je. Ali to je ono što imamo.” Dakle, Kroah-Hartman i tvorac Linuxa Linus Torvalds zabavljao bi se koristeći drugačiji sustav. Međutim, svaki takav sustav mora imati “slabo trenje”, tako da je lako ugraditi nove ljude.

Da bi se to dogodilo, Zemlin je pozvao na suradnju velikih poduzeća i zajednica otvorenog koda na razvoju i provođenju ovih mehanizama povjerenja. Cilj je sačuvati unos bez dopuštenja koji definira otvoreni izvor, istovremeno povećavajući povjerenje i sigurnost u reguliranom dobu. Ovaj napor uključuje rad s organizacijama poput Povjerenje preko IP fondacije I Zaklada OpenWallet Da bi se stvorio skalabilan, privatni pristupi.