美国当地时间周四白宫举办的开源安全峰会之后,Google 呼吁政府更多地参与识别和保护关键的开源软件项目。在峰会结束后不久发表的一篇博文中,Google 和 Alphabet 的全球事务总裁和首席法律官肯特·沃克(Kent Walker)说,政府和私营部门之间需要合作,以进行开源资金和管理。

Google呼吁政府参与和保护关键开源项目 避免Log4j漏洞重演-LMLPHP

沃克写道:“我们需要公私合作,确定一份关键开源项目的清单--关键程度根据项目的影响力和重要性来确定--以帮助优先考虑和分配资源,用于最基本的安全评估和改进”。

该博文还呼吁增加公共和私人投资,以保持开源生态系统的安全,特别是当软件被用于基础设施项目时。在大多数情况下,此类项目的资金和审查是由私营部门进行的。

截至发稿时,白宫尚未对评论请求作出回应。

沃克写道:“开放源码软件代码是向公众开放的,任何人都可以免费使用、修改或检查......。这就是为什么关键基础设施和国家安全系统的许多方面都采用了它。但没有官方的资源分配,也没有什么正式的要求或标准来维护该关键代码的安全。事实上,大多数维护和加强开源安全的工作,包括修复已知的漏洞,都是在临时的、自愿的基础上完成的”。

长期以来,开源开发的资金和资源短缺一直被作为一个安全问题提出来,在发现 Log4j Java 库的一个严重漏洞后,这个问题再次成为一个关键问题,该漏洞迅速成为近年来最大的网络安全漏洞。Log4j 库也是主要由无偿劳动开发和维护的。

当开源项目确实收到资金时,它通常来自私人来源,如个人捐款或科技公司的赞助。Google最近为安全开源(SOS)奖励计划提供了100万美元,这是Linux基金会正在实施的一项试点计划,旨在对致力于改善开源项目安全的开发者进行经济补偿。

01-15 04:25