Après le "Summit on open-source security" organisé à la Maison Blanche, Google a demandé une plus grande participation des gouvernement dans l'identification et protection des projets critiques de logiciels open source.
Grâce à une publication de Kent Walker, président des affaires mondiales et directeur juridique de Google, qui a déclaré dans un article de blog qu'une collaboration plus étroite était nécessaire entre le secteur privé et le gouvernement pour assurer plus de financement et de leadership pour la sécurité des logiciels open source.
"Nous avons besoin d'un partenariat public-privé pour identifier une liste de projets open source critiques, avec une criticité déterminée en fonction de l'influence et de l'importance d'un projet, pour aider à hiérarchiser et allouer des ressources pour les évaluations et améliorations de sécurité les plus essentielles, a écrit Walker.
À plus long terme, ce partenariat doit concevoir de nouvelles façons d'identifier les logiciels open source qui pourraient présenter un risque systémique, en fonction de la façon dont ils s'intègrent aux projets critiques, afin qu'il puisse anticiper le niveau de sécurité nécessaire pour assurer sa sécurité. Walker a ajouté.
Google souhaite également que le gouvernement et les industries se réunissent pour établir des normes de référence pour la sécurité, la maintenance, la provenance et les tests des logiciels open source.
Voilà veiller à ce que l'infrastructure nationale et les autres systèmes importants peut faire confiance à ces projets. Walker a déclaré que les normes devraient être élaborées dans le cadre d'un processus collaboratif qui met l'accent sur des mises à jour fréquentes, des tests continus et une intégrité vérifiée.
Enfin, Walkerr a demandé plus de financement à la fois au gouvernement et au secteur privé. Il a souligné que de nombreuses entreprises et organisations de premier plan ne savent même pas quelle part de leur infrastructure critique est basée sur des projets open source.
Pour y remédier, appelé à une sensibilisation accrue ainsi qu'à la création d'un marché pour la maintenance open source qui réunirait des volontaires d'entreprises et d'organisations avec des projets critiques qui ont besoin de soutien. Walker a promis que Google est prêt à soutenir une telle initiative.
Le manque de ressources pour la maintenance et la sécurité des logiciels open source est un problème qui a été soulevé par le passé, mais il a refait surface ce mois-ci suite à la découverte d'une grave faille dans la bibliothèque Java Log4j, l'une des plus grandes vulnérabilités de cybersécurité détectées. au cours des dernières années. La bibliothèque Log4j est open source, principalement développée et maintenue par une main-d'œuvre non rémunérée.
"Le code logiciel open source est accessible au public, libre à quiconque d'utiliser, de modifier ou d'inspecter", a écrit Walker. « C'est pourquoi tant d'aspects des infrastructures critiques et des systèmes de sécurité intérieure l'intègrent. Mais il n'y a pas d'allocation officielle de ressources et peu d'exigences ou de normes formelles pour assurer la sécurité de ce code critique. En fait, la plupart du travail pour maintenir et améliorer la sécurité de l'open source, y compris la correction des vulnérabilités connues, est effectué sur une base volontaire et ad hoc.
La plupart des financements pour les logiciels open source proviennent généralement de dons particuliers de supporters ou du parrainage d'entreprises technologiques qui dépendent de lui. Par exemple, Google a récemment engagé 100 millions de dollars dans le programme de primes Secure Open Source de la Linux Foundation, qui vise à fournir une compensation financière aux développeurs qui améliorent la sécurité des projets clés.
Pour sa part, ilà l'unité Red Hat d'IBM Corp., dont les dirigeants ont assisté à la réunion du Conseil de sécurité nationale de la Maison Blanche, Il a dit qu'il soutenait les efforts du gouvernement pour améliorer la sécurité de toutes sortes de logiciels.
"Un thème clé de la réunion était la reconnaissance que les logiciels open source ont accéléré le rythme de l'innovation technologique, offrent d'énormes avantages sociaux et économiques et peuvent grandement contribuer à améliorer la confiance et la cybersécurité", a déclaré Red Hat.
"Nous sommes impatients de travailler avec l'administration et un large éventail de parties prenantes sur les prochaines étapes et continuerons à nous concentrer sur le soutien de nos clients et le renforcement de l'écosystème open source."
Enfin Si vous souhaitez en savoir plus, vous pouvez vérifier les détails dans le lien suivant
Cela aurait été bien si Google avait donné l'exemple en annonçant le parrainage d'un de ces projets dont il parle.