軟體供應鏈安全的阿爾法和歐米伽

Alpha-Omega 專案將提高開源軟體的安全性。雖然這是一個好的開始，但可能還不夠。

什麼是阿爾法-歐米茄專案？其目的是“透過與專案維護者合作，系統地尋找開源程式碼中新的、尚未發現的漏洞，從而提高全球開源軟體供應鏈的安全性”，然後修復它們。這對於提高開源安全性至關重要。

為了實現這一目標，Linux 基金會的合作夥伴團體——開源安全基金會 (OpenSSF)、Google 和 Microsoft——正在聯手與安全專家合作，並使用自動化安全測試來提高開源安全性。微軟和谷歌將為 Alpha-Omega 計畫提供 500 萬美元的初始投資。

軟體供應鏈安全已變得至關重要。 SolarWinds軟體供應鏈攻擊、Log4j漏洞、npm不良程式碼注入事件等一系列重大安全性問題都可以追溯到軟體供應鏈漏洞。

駭客和國家對手已將廣泛部署的開源專案作為他們的首要目標。如今，當一個新的漏洞被揭露時，只需幾個小時的時間就會被利用。例如，廣泛部署的 Log4j 庫問題迫使許多組織進入危機模式，因為他們競相在受到攻擊之前更新應用程式。

正如 CodeNotary 軟體鏈安全公司產品副總裁 Jack Aboutboul 指出的那樣，問題的另一個部分是向開發人員和維修人員支付這項工作的費用。他問道：「您是否聽說過財富500 強公司向「Demand Answers」發送了有關他的軟體包的開源維護人員的電子郵件，他們從未支付過該軟體包的費用，但他們現在意識到該軟體包正在他們的軟體中使用？支付Omega 軟體的維護人員，否則，結果將只是在維護人員的程式碼中發現更多漏洞，這將導致他們工作更多時間，而不是更少。

Alpha-Omega 專案旨在透過尋找開源程式碼漏洞並在它們成為目標之前修復它們來跳過所有這些。我祝他們好運。

阿爾法...

Alpha 將與最關鍵的開源專案維護者合作。具體來說，Alpha 將涵蓋獨立專案和根據 OpenSSF 保護關鍵專案工作組的工作選擇的核心生態系統服務。為此，Alpha 將使用專家意見和數據。這將包括來自開源安全專案的數據，例如 OpenSSF 關鍵性評分和哈佛大學的「人口普查」分析。

對於這些選定的項目，Alpha 團隊成員將提供量身定制的協助，以了解和解決安全漏洞。這將包括威脅建模、自動化安全測試、原始碼審核以及支援修復發現的漏洞。其最佳實踐部分來自 OpenSSF 記分卡和最佳實踐徽章標準。

……還有歐米茄

該專案的 Omega 方面將首先確定至少 10,000 個廣泛部署的開源程式。完成後，專案團隊將對程式碼應用自動安全分析和評分。最後，Omega 工作人員將跟進，向維護者社群提供修復指導。

這絕非易事。 Omega 將使用自動化方法和工具來識別關鍵安全漏洞。為了實現這一目標，其開發人員將結合使用技術、雲端規模分析人員、安全分析師對結果進行分類；和流程，向專案利害關係人秘密報告關鍵漏洞。為了實現這一目標，歐米茄將聘請專門的軟體工程師團隊。他們將持續致力於降低誤報率並識別新的漏洞。

即使擁有自己的安全團隊，正如 Google 基礎設施副總裁兼研究員 Eric Brewer 指出的那樣，“重要開源軟體的長尾，即這項工作的‘歐米茄’，始終是最困難的部分，它不僅需要大量的資金和毅力，但其規模也將推動廣泛的自動化跟踪，理想情況下，實現自動化將是開源安全的最大改進之一。

OpenSSF 總經理 Brian Behlendorf 表示：“開源軟體是現代社會關鍵基礎設施的重要組成部分。因此，我們必須採取一切必要措施來確保開源軟體和我們的軟體供應鏈的安全性。” “Alpha-Omega 以公開透明的方式支持這項工作，透過主動發現、修復和預防漏洞來直接提高開源專案的安全性。”

微軟 Azure 技術長 Mark Russinovich 表示，如果一切順利，「Alpha-Omega 將透過與維護人員的直接接觸以及使用最先進的安全工具來檢測和修復關鍵開源項目，為關鍵開源專案提供保證和透明度。我們期待與行業合作夥伴和開源社區就這一重要舉措進行合作。

問題依然存在

但這就足夠了嗎？阿布布爾可不這麼認為。從技術上講，Aboutboul 擔心Alpha-Omega 的sigstore 技術（特別是cosign 和Rekor）及其財務和人力資源都無法勝任這項工作。簽名會發生什麼數十億的文物都帶有證書，然後該證書現在被洩露了？

Aboutboul 也擔心 Rekor 還不夠好，Rekor 是該專案的不可變、防篡改帳本，並且充當供應鏈中工件元資料的透明日誌。這是因為「Rekor 利用Google 的Trillian 作為其底層的僅附加資料結構，並需要MySQL 或MariaDB 和Redis。最終，這為漏洞留下了空間。這裡有太多的移動部件，而部件越多意味著您需要的部件就越多。

最後，在技術方面，Aboutboul 指出 Rekor 直接說：「重要提示：該實例目前正在盡最大努力運行。我們將在零通知的情況下刪除日誌並重置它。我們將隨著時間的推移，提高穩定性並發布SLO。哎呀！

Aboutboul 透過依賴其開源不可變資料庫 immudb 來處理這些問題。為什麼？ CodeNotary 吃自己的狗糧，因為「immudb 本身就是一個不可變的資料庫，不依賴任何外部基礎設施，沒有懷疑的餘地，沒有風險的餘地。進入 immudb 的內容儲存在 immudb 中，在篡改中- 證明和可驗證的方式。

除了技術之外，阿布博爾認為還有兩個重要問題需要解決。首先，「雖然500 萬美元聽起來像是一大筆錢（確實如此），但對於執行這項使命來說，這似乎是微不足道的。開源對全球軟體供應鏈的滲透深度令人望而生畏。當你開始看看您潛在的 Alpha 項目，例如 Linux 核心等。

儘管如此，Aboutboul 也同意 Alpha-Omega 是向前邁出的重要一步。但是，阿布布爾提出了幾個很好的觀點。最後，房間裡的大像是開發人員和維護人員的錢。不管你喜歡與否，我們必須優先考慮為開源安全付費。