Prioridades do OpenSSF Secure Open Source Software Summit 2023

A Snyk participa ativamente e patrocina há muito tempo a Open Source Security Foundation (OpenSSF). Estamos presentes porque acreditamos na importância de apoiar sua missão de proteger o ecossistema de código aberto.

Uma reunião recente do summit, organizada pelo OpenSSF com a Casa Branca, reuniu vários departamentos do governo dos EUA para conversar sobre a segurança do código aberto. O contexto é que o governo dos EUA reconhece a importância de proteger o ecossistema de código aberto, pois entende que “o software de código aberto é uma ferramenta essencial para transferir poder aos guardiões da democracia e demonstrar nossos valores”, como afirmou Kemba Walden, diretora nacional interina de cibersegurança da Casa Branca.

As três principais prioridades definidas nessa reunião do summit foram:

1. Oferecer educação em segurança a mantenedores, colaboradores e usuários de OSS

2. Proteger repositórios de OSS

3. Viabilizar recursos de resposta a incidentes (IR) de OSS entre setores

Tenho trabalhado, junto com outros membros do OpenSSF, para ajudar a publicar um conjunto de diretrizes que aborda o segundo ponto desta lista: Proteger repositórios de OSS.

As plataformas SCM são usadas para a colaboração entre desenvolvedores, o engajamento da comunidade e como parte do processo de build e lançamento de muitos componentes e ferramentas importantes de software de código aberto. Não é surpresa que os repositórios SCM tenham surgido nessa discussão como um dos principais pontos de alavancagem para tornar o software de código aberto mais seguro.

O Guia de boas práticas de gerenciamento de código-fonte, lançado no início deste mês, oferece a desenvolvedores, mantenedores e organizações que usam as plataformas SCM GitHub e GitLab diretrizes claras para configurar e manter a segurança. Em conjunto com o OpenSSF Scorecard, ele fornece aos desenvolvedores uma lista de verificação abrangente e orienta organizações que gerenciam vários repositórios de código aberto sobre como configurar permissões, fluxos de trabalho e políticas para reforçar a segurança.

Foi ótimo colaborar com os co-líderes deste trabalho, Christine Abernathy, da F5, e Noam Dotan, da Legit Security. E ainda não terminamos. Esta é a primeira versão destas diretrizes. Esperamos incluir outras plataformas SCM e incorporar as contribuições da comunidade, já que o próprio guia é, naturalmente, mantido em um repositório de código aberto.

Para saber mais sobre o que está acontecendo no OpenSSF, siga @openssf@social.lfx.dev no Mastodon.