Priorités du sommet 2023 de l’OpenSSF sur la sécurisation des logiciels open source

Snyk participe activement depuis longtemps aux activités de l’Open Source Security Foundation et les soutient (OpenSSF). Nous sommes présents parce que nous croyons en l’importance de soutenir sa mission : sécuriser l’écosystème open source.

Lors d’un récent sommet organisé par l’OpenSSF et la Maison-Blanche, plusieurs services du gouvernement américain se sont réunis pour échanger sur la sécurité des logiciels open source. Le gouvernement américain comprend l’importance de sécuriser l’écosystème open source, car il sait que « les logiciels open source sont un outil essentiel pour renforcer le pouvoir des gardiens de la démocratie et faire valoir nos valeurs », comme l’a déclaré Kemba Walden, directrice nationale par intérim de la cybersécurité à la Maison-Blanche.

Les trois principales priorités définies lors de ce sommet étaient les suivantes :

1. Former les responsables de la maintenance, les contributeurs et les utilisateurs de logiciels open source à la sécurité

2. Sécuriser les dépôts de logiciels open source

3. Mettre en place des capacités de réponse aux incidents (IR) intersectorielles pour les logiciels open source

Avec d’autres membres de l’OpenSSF, je travaille à la publication d’un ensemble de recommandations pour répondre au deuxième point de cette liste : Sécuriser les dépôts de logiciels open source.

Les plateformes SCM servent à la collaboration entre développeurs, à l’engagement de la communauté et aux processus de compilation et de publication de nombreux outils et composants logiciels open source essentiels. Il n’est donc pas surprenant que les dépôts SCM soient ressortis de cette discussion comme un levier clé pour renforcer la sécurité des logiciels open source.

Le Guide des bonnes pratiques de gestion du code source, publié au début du mois, propose aux développeurs, aux responsables de la maintenance et aux organisations qui utilisent les plateformes SCM de GitHub et GitLab des recommandations claires pour configurer et maintenir la sécurité. Utilisé avec OpenSSF Scorecard, il offre aux développeurs une liste de contrôle complète et aide les organisations qui gèrent plusieurs dépôts open source à configurer les autorisations, les workflows et les politiques nécessaires pour renforcer la sécurité.

J’ai beaucoup apprécié cette collaboration avec les coresponsables de ce travail, Christine Abernathy de F5 et Noam Dotan de Legit Security. Et ce n’est pas fini. Il s’agit de la première version de ces recommandations. Nous avons hâte d’y intégrer d’autres plateformes SCM et de tenir compte des commentaires de la communauté, car le guide lui-même est, bien sûr, géré dans un dépôt open source.

Pour en savoir plus sur les activités de l’OpenSSF, suivez @openssf@social.lfx.dev sur Mastodon.