Prioritäten des OpenSSF Secure Open Source Software Summit 2023

Snyk engagiert sich seit Langem aktiv für die Open Source Security Foundation (OpenSSF) und unterstützt sie als Sponsor. Wir sind dabei, weil wir ihre Mission unterstützen möchten, das Open-Source-Ökosystem sicherer zu machen.

Bei einem kürzlich veranstalteten Gipfeltreffen, das das OpenSSF gemeinsam mit dem Weißen Haus ausgerichtet hat, kamen verschiedene US-Regierungsbehörden zusammen, um über die Sicherheit von Open Source zu sprechen. Hintergrund ist, dass die US-Regierung die Bedeutung eines sicheren Open-Source-Ökosystems versteht. Denn ihr ist bewusst, dass „Open-Source-Software ein wichtiges Werkzeug ist, um die Macht den Hütern der Demokratie zuzuwenden und unsere Werte zu verdeutlichen“, wie Kemba Walden, amtierende National Cyber Directorin im Weißen Haus, es formulierte.

Aus diesem Gipfeltreffen gingen drei zentrale Prioritäten hervor:

1. Sicherheitsschulungen für OSS-Maintainer, Mitwirkende und Anwender

2. OSS-Repositories absichern

3. Branchenübergreifende Fähigkeiten zur Reaktion auf OSS-Sicherheitsvorfälle (IR) ermöglichen

Gemeinsam mit anderen OpenSSF-Mitgliedern arbeite ich an der Veröffentlichung von Richtlinien, die den zweiten Punkt dieser Liste adressieren: OSS-Repositories absichern.

SCM-Plattformen dienen der Zusammenarbeit von Entwicklern und dem Austausch innerhalb von Communities. Außerdem sind sie Teil des Build- und Release-Prozesses vieler wichtiger Open-Source-Softwarekomponenten und -Tools. Es überrascht daher nicht, dass SCM-Repositories in dieser Diskussion als wichtiger Ansatzpunkt für mehr Sicherheit bei Open-Source-Software identifiziert wurden.

Der Leitfaden zu Best Practices für die Source-Code-Verwaltung, der Anfang dieses Monats veröffentlicht wurde, bietet Entwicklern, Maintainerinnen und Maintainer sowie Organisationen, die GitHub- und GitLab-SCM-Plattformen nutzen, klare Richtlinien für die Einrichtung und Aufrechterhaltung der Sicherheit. Zusammen mit der OpenSSF Scorecard erhalten Entwickler damit eine umfassende Checkliste. Organisationen, die mehrere Open-Source-Repositories verwalten, finden außerdem Empfehlungen zur Einrichtung von Berechtigungen, Workflows und Richtlinien für mehr Sicherheit.

Die Zusammenarbeit mit den Co-Leads dieser Arbeit, Christine Abernathy von F5 und Noam Dotan von Legit Security, war großartig. Und wir sind noch nicht fertig: Dies ist die erste Ausgabe dieser Richtlinien. Wir freuen uns darauf, weitere SCM-Plattformen aufzunehmen und Feedback aus der Community einzuarbeiten. Schließlich wird der Leitfaden selbst in einem Open-Source-Repository verwaltet.

Weitere Informationen zu den Aktivitäten des OpenSSF finden Sie auf Mastodon unter @openssf@social.lfx.dev.