05.05.2016 11:37 Linux Foundation вводит систему оценки качества, безопасности и стабильности СПО
|
|
Сформированный при организации Linux Foundation фонд Core Infrastructure Initiative, в рамках которого ведущие корпорации объединили свои усилия в направлении обеспечения поддержки открытых проектов, задействованных в ключевых областях компьютерной индустрии, анонсировал первые результаты продвижения инициативы Best Practices Badge Program для стимулирования повышения безопасности свободных проектов.
В рамках инициативы сформирован набор критериев, составленных с учётом опыта наиболее серьёзно относящихся к безопасности сообществ. Список включает 74 критерия, разделённых по степени важности (обязательные, желательные и рекомендуемые). Выполнение критериев позволяет судить о серьёзном отношении проектов к безопасности, обеспечению качества и поддержанию стабильности кодовой базы. Для оценки соответствия своего проекта предъявляемым критериям подготовлено простое web-приложение.
На базе данных критериев запущена программа сертификации соответствия проектов требованиям качества, безопасности и стабильности. Прошедшие сертификацию проекты получают право размещения на сайте специального знака качества, сигнализирующего о серьёзном отношении разработчиков к безопасности. В настоящее время заявки на проведение проверки сформированы для 114 проектов. Успешно прошли проверку 7 проектов: Curl, GitLab, ядро Linux, OpenBlox, OpenSSL, Node.js и Zephyr. Три проекта признаны не соответствующими критериям (pkgsrc — указание нескольких лицензий в разных файлах, container-tools — сайт без HTTPS, byobu — сайт без HTTPS c TLS). Остальные проекты находятся на стадии проверки.
Ключевые требования к проектам:
- Доступный по постоянному адресу web-сайт, на котором описано назначение проекта, предоставлены ссылки для загрузки, имеется возможность отправки отзыва разработчикам и доступна инструкция по подключению к разработке/отправке изменений;
- Использование типовой свободной лицензии и размещение информации о лицензии в файлах LICENSE или COPYING;
- Поддержка HTTPS на сайте;
- Наличие документации, описывающей установку и запуск, а также наличие спецификации для API;
- Доступность кода через распределённые системы контроля версий и возможность оценки изменений между релизами;
- Присвоение каждому выпуску уникального номера версии в формате семантического версионирования;
- Наличие списка изменений, в котором явно выделены исправленные уязвимости;
- Предоставление средства для отправки разработчикам сообщений об ошибках и отслеживания их исправления. Доступ к архиву сообщений о проблемах. Аргументированная реакция на любые сообщения об ошибках и запросы на улучшения, без игнорирования;
- Наличие безопасного и документированного процесса отправки уведомлений об обнаружении уязвимостей. Ответ на подобные сообщения должен составлять не более 14 дней, а проблема должна быть устранена не более чем за 60 дней;
- Возможность сборки с использованием штатных открытых инструментов. Возможность включения сборки в режиме вывода предупреждений компилятором и компоновщиком. Возможность запуска статических анализаторов кода;
- Наличие автоматизированного тестового набора, покрывающего большую часть функциональности проекта. Добавление новых тестов для нового кода;
- Автоматизированный запуск тестов для всех изменений и применение динамических проверок с использованием анализаторов, подобных Valgrind, систем fuzzing-тестирования и сканеров безопасности;
- Знание разработчиками методов безопасного программирования и типовых ошибок, приводящих к уязвимостям;
- В случае наличия поддержки шифрования применение публичных протоколов и алгоритмов, задействование уже готовых проверенных и открытых реализаций, использование ключей надлежащей длины, отказ от поддержки проблемных и уязвимых алгоритмов, использование алгоритмов с Forward secrecy, хранение любых паролей в форме хэшей с солью, применение надёжных генераторов случайных чисел.
|
|
|
- Главная ссылка к новости (http://www.linuxfoundation.org…)
- OpenNews: Организация Linux Foundation представила платформу для критически важных технических систем
- OpenNews: Инициативы Linux Foundation, касающиеся безопасности СПО и диагностики производительности
- OpenNews: Ведущие корпорации профинансируют создание повторяемых сборок Debian и средства выявления ошибок в СПО
- OpenNews: Сформирован рейтинг СПО, требующего первоочередного аудита безопасности
- OpenNews: Фонд свободного ПО сертифицировал четвёртый ноутбук
|
| Тип: К сведению |
| Ключевые слова: linuxfoundation, (найти похожие документы) |
|
При перепечатке указание ссылки на opennet.ru обязательно
|
| |
| |
|
|
+/– |
> «Сформированный при организации Linux Foundation фонд Core Infrastructure Initiative,
> в рамках которого ведущие корпорации объединили свои усилия в направлении обеспечения
> поддержки открытых проектов, задействованных в ключевых областях компьютерной индустрии,
> анонсировал»
> Кто на ком стоял? ©
Да там перлы щедро насыпаны:
«Аргументированная реакция на любые сообщения об ошибках и запросов на улучшения»
Родительный падеж: Кого, чего?
Чего запросов? Где остальной кусок смысла?
Если «Реакция на», то «Реакция на запросЫ», а не «запросов».
Кто на ком стоял? ©
|
 |
| |
|
| |
|
|
+/– |
| > возложим болт на качество, безопасность и стабильность, и возьмёмся заниматься оценками
А что делать: специалистов днём-с-огнём не сыщешь, а всяких оценщиков и прочих пэхапе-гвидобейско-г-кодеров — как собак не резаных. Надо же их чем-то занять?
|
 |
| |
|
| |
| |
| |
|
|
+/– |
| Да ну конечно, боб бек наше все куда уж до него смертным.
А если серьезно, беспонятия кто это, даже не интересно. Но, видимо, у вас бсд головного мозга, не хочу устраивать очередной раунд, поэтому лишь отмечу, что варились все вы в своем маленьком уютненьком бсд-обществе, и будете дальше вариться, пока не помрете, что никто даже не заметит. Право ваше.
|
 |
| |
|
|
|
|
|
+1 +/– |
| Резюме последних инициатив GNU:
«Не хочу писать код. Хочу рукой водить, каждую неделю устраивать конкурсы и быть в них жюри. Хочу оценивать сайты по степени продвижения ими моего фонда. Хочу судить проекты, независимо от того что они не с моей лицензией. СПО — это Я».
|
|
| |
| |
|
|
+/– |
| > Резюме последних инициатив GNU:
Вы темой ошиблись. Здесь про хороводы за мзду с капрофагами.
Вы спутали GNU и FSF.
Вы не в курсе более ранних инициатив FSF, почему? 30+ лет истории ждут.
|
|
| |
|
|
|
–1 +/– |
| Следующей инициативой должна стать сертификация и раздача проектам лицензий на право называться OpenSource. Лоббирование юридического термина «нелицензионное СПО» 🙂 |
|
| |
| |
|
|
–1 +/– |
> Следующей инициативой должна стать сертификация и раздача проектам лицензий на право называться
> OpenSource. Лоббирование юридического термина «нелицензионное СПО» 🙂
Вот только вслух не надо.
Они же читают!
|
|
| |
|
|
|
| Добавить комментарий |
|
|
|
|
Let’s block ads! (Why?)
