У пользователей открытого ПО появится свой CERT
Понедельник, 07.04.2008
Группа ИТ-профессионалов из разных компаний при поддержке Google и Intel запускает проект по обеспечению информационной безопасности открытых продуктов. Инициатива, получившая название oCERT (Opensource Computer Emergency Response Team), имеет своей целью исследование безопасности открытого программного обеспечения, а также расследование инцидентов, связанных с ним.
Организаторы oCERT говорят, что необходимость создания такой группы уже давно созрела, так как открытое ПО уже давно применяется не только на компьютерах пользователей-энтузиастов, но и в корпоративных и государственных средах. Впервые идея создания oCERT была выдвинута еще на прошлогодней конференции CanSecWest, однако тогда перед инициаторами стояло множество организационных и технических проблем.
На сегодня в oCERT входят представители компаний Intel, Google, Mandriva, Gentoo, SecWest, Open Source Lab, а также разработчики популярных открытых программ OpenSSH, Nmap и других.
В ближайшее время новая группа займется подборкой и публикацией списков уязвимостей, обнаруженных в открытых программах, а также анализом кодов. Помимо этого, oCERT возьмет на себя координационные функции, в частности, будет координировать процессы разработки многих продуктов и руководить выпуском патчей для них.
“Небольшие открытые проекты часто не имеют каких-либо выработанных процедур для работы над исправлениями и редко расследуют уязвимости в своем ПО, однако зачастую их код становится частью более глобальных проектов, которые наследуют уязвимости. В результате без должной координации усилий здесь не обойтись”, - говорит Андреа Барисани, координатор и основатель oCERT.
По словам Барисани, в течение ближайшего месяца присоединится к группе предложат всем Linux-вендорам, а также разработчикам популярных Opensource-продуктов. Однако для того, чтобы стать полноправным членом oCERT разработчик должен выполнить ряд требований, например, подписать соглашение, где он обязуется не замалчивать ситуацию с обнаруженными багами, а также выделить минимум одного эксперта для контактов с oCERT.
“Мы намерены работать быстро, насколько это только возможно, чтобы во-первых, воздать действенную группу помощи, а во-вторых, чтобы дать пользователям Opensource те гарантии, которых пока нет”, - говорит Барисани.
