開源安全基金會(OpenSSF):回顧和展望
![](https://linuxstory.org/wp-content/uploads/2024/06/083725e6zk5pc2atq86qt9-800x400.jpg)
開源安全基金會(OpenSSF)正式 成立於 2020 年 8 月 3 日。本文將討論 OpenSSF 創立的初衷,它成立之初六個月內的成就,以及它未來的願景。
(LCTT 校註:原文發表於 2 年前, 但時至今日仍然有一些值得了解的信息。)
全世界都在推行開源軟體(OSS)理念,所以開源軟體的安全也至關重要。為了提升開源軟體的安全性,業界已經做了大量工作,並取得了一些成果。這些成果包括:Linux 基金會的 核心基礎設施計劃 (CII)、GitHub 安全實驗室的 開源安全聯盟 (OSSC)和由谷歌以及其他公司創立的 聯合開源軟體計劃 (JOSSI)。
顯然,如果這些成果合為一體,軟體行業將發展得更加順利。這三項成果在 2020 年合併為「旨在促進開源軟體安全性的、由各行業巨頭主導的跨行業聯盟」。
OpenSSF 的確受益於這種「跨行業聯盟」;它有幾十個成員,(按字母順序)包括 Canonical、 GitHub、谷歌、IBM、英特爾、微軟和紅帽。聯盟的理事會成員還包括安全社區個人代表,這些個人代表是那些不能以企業名義作為聯盟成員的個人。該聯盟也創造了一些便於人們合作的組織結構:建立一些活躍的工作組,這種工作組確定(並公布)它存在的價值,其中的成員應當就該組織的技術願景形成一致意見。
但是這並不重要,除非它們有實際成果。當時雖然處於早期,它們也確實取得了一些成果。它們發布了:
- 安全軟體開發基礎課程:在 edX 平台上有 3 門免費課程,旨在教授軟體開發人員軟體安全方面的知識。這些課程注重實際操作,任何開發人員都可以較輕鬆地學習,而不是那些需要耗費大量資源的理論或案例。開發人員也可以付費參加測試,從而獲得認證,表明自己掌握了這些課程地內容。
- 安全評分卡:為開源項目自動生成「安全分數」,幫助用戶進行信任、風險和安全方面的決策。
- 關鍵性分數:基於一些參數,為開源項目自動生成關鍵性分數。臨界分數可以讓人們對世界上最重要的開源項目有更好的理解。
- 安全度量儀錶盤:這是較早時候發布的成果,它結合安全評分卡、CII 最佳實踐和其他數據來源,提供與 OSS 項目有關的安全和支持信息的儀錶盤。
- OpenSSF CVE 基準測試:基準測試由超過 200 個歷史上的 JavaScript/TypeScript 漏洞(CVE)的脆弱代碼和元數據組成。這將幫助安全團隊評估市場上的各種安全工具,使他們能夠用真實的代碼庫(而不是合成的測試代碼)確定誤報和漏報率。
- OWASP 安全知識框架:與 OWASP 的合作成果,它是一個知識庫,包含了帶檢查清單的項目和使用多種編程語言的最佳代碼樣例。它還提供針對開發者如何使用特定的語言編寫安全代碼的培訓材料,以及用於實際操作的安全實驗室。
- 2020 年自由/開源軟體貢獻者調查報告:OpenSSF 和 LISH 發布了一份報告,其中詳細說明了對開源軟體貢獻者的調查結果,並以此為依據,研究和確定提高 OSS 安全性和可持續性的方法。一共調查了 1200 名受訪者。
現有的 CII 最佳實踐徽章 項目已經與 OpenSSF 合併,將繼續升級。現在項目有很多中文譯者,翻譯為斯瓦希里語的工作也在進行中,項目也進行了很多小改進,詳細闡明獲得徽章的要求。
2020 年 11 月舉行的 OpenSSF 大會討論了 OpenSSF 正在進行中的工作。最近,OpenSSF 有這些工作組:
- 漏洞披露
- 安全工具
- 安全最佳實踐
- 對開源項目安全漏洞的識別(重點關注指標儀錶盤)
- 對關鍵項目的保障
- 數字身份認證
除了持續更新已發布的項目,未來可能的工作還包括:
- 為減少重複工作,在多種技術指標中確定哪些是重複和關聯的安全需求。這就是作為領導者與 OWASP 協作開發,也稱為 通用需求枚舉 (CRE)。CRE 旨在使用一種公共主題標識符,將標準和指南的各個部分聯繫起來,這種公共主題標識符的作用是令標準和方案制定者高效工作,令標準使用者能搜索到需要的信息,從而使雙方對網路安全有相同的理解。
- 建一個網站,提供對安全度量儀錶盤的免安裝訪問。再次強調,這將會提供各種來源(包括安全計分卡和 CII 最佳實踐)的數據的簡單展示。
- 開發對關鍵 OSS 項目的識別功能。哈佛大學和 LF 已經做過一些識別關鍵 OSS 項目的工作。未來一年內,他們會改進方法,添加新的數據來源,從而更好地進行鑒別工作。
- 資助一些關鍵的 OSS 項目,提高它們的安全性。預期將關注那些財力不足的項目,幫助這些項目提升整體性能。
- 識別和實現已改進和簡化的技術,用於數字簽名的提交和對身份的校驗。
跟所有的 Linux 基金會項目一樣,OpenSSF 的工作是由其成員決定的。如果你對大家所依賴的 OSS 安全有興趣,你可以訪問 OpenSSF 網站並以某種方式加入它們。參與的最好方式是出席工作組會議——會議每隔一周就舉行,而且非常隨意。通過合作,我們可以有所作為。欲了解更多信息,可以訪問:
作者:David A. Wheeler Linux 基金會開源供應鏈安全總監
本文 首次發表於 Linux 基金會網站。
via: https://www.linux.com/news/open-source-security-foundation-openssf-reflection-and-future/
作者:The Linux Foundation 選題:lujun9972 譯者:cool-summer-021 校對:wxy
本文轉載來自 Linux 中國: https://github.com/Linux-CN/archive