为什么 Google 支持的安全开源计划如此重要

供应链攻击暴涨，开源项目是最常见的渗透点。由 Google 赞助的 Linux 基金会帮助开源项目保护自己和其他所有人。

供应链攻击

直到最近，如果您参与网络安全并发现自己试图向某人解释供应链攻击，您可能会以 Stuxnet 攻击 为例。现在，您有任意数量的示例可供选择。

每个人都听说过 Solarwinds 和 Codecov 攻击，因为它们是头条新闻，复杂的攻击范围很广。但这两个例子只是此类攻击的沧海一粟。

供应链攻击毒害了自助餐。任何吃自助餐的人都会消耗毒药。自助餐的主人不是目标。目标是所有受邀参加宴会的人。如果攻击者可以破坏在许​​多其他应用程序和系统中使用的软件工具包或库，他们就已经设法破坏了这些其他产品的所有用户。

开源和闭源产品都面临风险。甚至在某些情况下，笔记本电脑的硬盘映像是从受感染的黄金映像克隆而来，将恶意软件直接植入硬件中。

但由于开源项目让每个人都可以访问源代码并能够为项目提交贡献，因此它们是网络犯罪分子的理想攻击媒介。随着开源组件的使用不断滚雪球，以开源为目标变得越来越有吸引力。几乎所有重要的开发项目都使用开源资产。现代世界的数字基础设施依赖于开源。

根据Sonatype 的一份报告， 开源的使用仍在加速。这对开源来说很棒。使用开源作为攻击媒介的供应链攻击随之增加。供应链攻击同比增长 650%，包括 依赖混淆、 域名抢注和代码注入。

我们前面所述，你可以在内部尝试步骤 限制你接触到供应链的攻击，使用工具，如preflight。我们还报道了正在行业层面实施的计划，例如 由谷歌、红帽和印第安纳州普渡大学联合开发的 Linux 基金会的 sigstore 计划。

在 安全的开源 项目是由Linux基金会与来自谷歌的开源安全团队100万$的赞助运行的一项新举措。

安全的开源奖励

该试点计划的重点是增强关键开源项目的安全性。关键的定义 是 美国政府的定义，该定义是为了补充行政命令 14028而起草的 。如果一个或多个软件组件具有以下任一属性，则他们的定义将软件列为关键软件：

• 它旨在以提升的权限运行或管理权限
• 它可以直接或特权访问网络或计算资源
• 它旨在控制对数据或操作技术的访问
• 它执行对信任至关重要的功能
• 它在具有特权访问权限的正常信任边界之外运行

另一个重要因素是该问题对软件消费者的潜在影响。谁会受到影响，有多少，以及如何受到影响？如果有问题的软件被纳入其他开源项目，其影响将比独立应用程序的影响更大。一个给定的组件越受欢迎，它对供应链攻击的吸引力就越大。

这就是为什么还要考虑这些标准的原因：

• 安全改进将影响多少和哪些类型的用户？
• 这些改进是否会对基础设施和用户安全产生重大影响？
• 如果项目遭到破坏，其影响将有多严重或广泛？

该项目是否包含在 最常用软件包的 哈佛 2 人口普查研究中，或者它的 OpenSSF 临界分数是否 为 0.6 或更高？
概括地说，一个软件项目可以申请资金，让他们纠正一个安全问题。审查申请并考虑诸如项目有多重要、补救或改进是什么以及谁来完成工作等主题。评估委员会成员将是 Linux 基金会和谷歌开源安全团队人员。

为了获得好评，提案应包括以下列表中的改进：

• 供应链强化，包括符合软件工件供应链级别 (SLSA) 框架的CI/CD 管道和分发基础设施 。
• 采用软件工件签名和验证技术，例如sigstore工具。
• 项目改进导致更高的 OpenSSF 记分卡 结果。记分卡检测并列出开源项目的依赖项。
• 使用 OpenSSF Allstar 强化 GitHub 存储库。
• 通过采用行业最佳工作实践获得 CII 最佳实践徽章。

奖励根据安全改进的复杂性和优点以及成功攻击对更广泛社区的潜在影响进行分组和分配。

• 10000 美元或更多：复杂、高影响和持久的改进，几乎可以肯定地防止受影响代码或支持基础设施中的重大漏洞
• 5000-10000 美元：中等复杂的改进，提供引人注目的安全优势
• 1000-5000：提交的复杂性和影响中等
• 505 美元：小改进，但从安全角度来看还是有价值的

必须商定并遵守报告机制。这些将监控修复的进度，并验证它们是否实际发生。这不仅仅是免费的钱。

为什么这很重要

Sonatype 报告写道：“……我们预计攻击者将继续以上游软件供应链资产为目标，作为大规模利用下游受害者的首选途径。”

由于在开放和专有产品的开发中广泛使用开源，因此规模巨大。开源已经以惊人的程度渗透到我们现代世界的技术结构中。事实上，这种技术结构现在完全依赖于开源。

倡议喜欢sigstore并Allstar已设计提供帮助，整个开源运动。其他工具，例如preflight部署在消费者级别。这项新举措补充了这两种方法，并从根本上解决了问题。

如果您改进代码和开发基础设施并消除漏洞，那么可能的漏洞利用就会减少。这将减少妥协的数量。

安全开源奖不是漏洞奖励。它是关于提供资源来解决问题。解决代码中的问题、强化 CI/CD 管道和源代码存储库以及使用软件工件签名和验证方案将改变开源所处的位置。