2022
02
07

Log4j漏洞引爆開源軟體安全議題,OpenSSF基金會扛起重擔,推動修補大量軟體漏洞的計畫[轉載於iThome]

關鍵字:專案開發資訊安全

2020年由Linux基金會成立的開源軟體安全基金會(Open Software Security Foundation,OpenSSF)本周宣布名為Alpha-Omega的計畫,將協助尋找並修補1萬項開源軟體的漏洞。

基本上,OpenSSF是以強化開源軟體安全為宗旨的組織,獲得業界大廠,包括微軟、Google、IBM、英特爾等支持。他們推出的最新計畫Alpha-Omega,是在Log4j漏洞公布後,白宮召集美國軟體及資安界人士共商對策後的結果,當中將透過和軟體專案負責單位,運用自動安全測試工具來促進開源軟體供應鏈的安全性,而在第一階段期間,微軟和Google也將投入500萬美元支持這項計畫。

開源軟體安全基金會總經理Brian Behlendorf指出,開源碼是現代社會關鍵基礎架構的關鍵元素,因此必須儘可能確保軟體供應鏈安全,而Alpha-Omega計畫的推動,可透過發現、修補及預防漏洞,直接改善開源專案的安全性。

同時,這項計畫透過開源軟體專案維護單位,找出程式碼中未發現過的新漏洞,並予以修補。

它分成兩項專案,一是Alpha,一是Omega。Alpha專案是和最關鍵的開源碼專案維護單位合作找出及修補漏洞。至於最關鍵的專案,將由OpenSSF Securing Critical Project工作小組根據專家意見及評分資料來選擇。選定的專案將由Alpha團隊成員提供檢視及修補,包括威脅建模、自動化安全測試、原始碼稽核等,用以修補漏洞。修補工作也可結合OpenSSF資源,包括OpenSSF 評分表最佳典範等。最終,Alpha專案也會公布相關安全及修補措施。

至於Omega專案,將運用自動化方法和工具,找出至少1萬項常用開源碼專案的重大安全漏洞,當中將結合多種方式,包含:利用雲端規模的分析「技術」、負責分類的安全分析「人員」,以及向正確OSS專案人士祕密通報重大漏洞的「流程」。Omega也會有個安全工程師組成的專門團隊,持續調校分析流程,以減少誤判率及找出新漏洞。

傑立資訊傑立資訊事業有限公司
Powered by AWS Cloud Computing

電話:(02)2739-9096 | 傳真:(02)2739-6637 | 客服:[email protected] | 臺北市信義區和平東路3段257號6樓map

© 2019 傑立資訊 All rights reserved.| 網站隱私政策