Πριν από λίγες ημέρες δημοσιεύσαμε την είδηση για μια έκθεση που δημοσιεύθηκε σχετικά με την ανησυχία πολλών εταιρειών σχετικά με την αξιοπιστία του ανοιχτού κώδικα και τώρα η DARPA, ο ερευνητικός βραχίονας του αμερικανικού στρατού, ανακοίνωσε ότι «ανησυχεί για την αξιοπιστία του ανοιχτού κώδικα» και δηλώνει ότι θέλει να κατανοήσει το πιο σημαντικό τεχνολογικό οικοσύστημα στον πλανήτη. Ορισμένοι αναλυτές θεωρούν υπερβολή να πούμε ότι το ανοιχτό κώδικα τρέχει σε κάθε υπολογιστή στον πλανήτη και διατηρεί σε λειτουργία κρίσιμες υποδομές.
Σύμφωνα με μια νέα έκθεση της εταιρείας ασφάλειας προγραμματιστών Snyk και του Linux Foundation, το 41% των επιχειρήσεων δεν έχουν υψηλό βαθμό εμπιστοσύνης στην ασφάλεια του λογισμικού ανοιχτού κώδικα που χρησιμοποιούν και η ευρεία χρήση του ενέχει σημαντικούς κινδύνους. Μεγάλο μέρος του σύγχρονου πολιτισμού βασίζεται σε ένα συνεχώς αυξανόμενο σύνολο κώδικα ανοιχτού κώδικα, επειδή εξοικονομεί χρήματα, προσελκύει ταλέντα και απλοποιεί πολλές εργασίες.
«Περιμένετε ένα λεπτό, κυριολεκτικά ό,τι κάνουμε τρέχει σε Linux», λέει ο Dave Aitel, ερευνητής κυβερνοασφάλειας και πρώην επιστήμονας ασφάλειας υπολογιστών της NSA. «Ο κόσμος συνειδητοποιεί τώρα», λέει. «Δεν είναι υπερβολή να πούμε ότι όλοι βασίζονται στον πυρήνα του Linux, παρόλο που οι περισσότεροι άνθρωποι δεν το έχουν ακούσει ποτέ. »
«Οι προγραμματιστές λογισμικού σήμερα έχουν τις δικές τους αλυσίδες εφοδιασμού. Αντί να συναρμολογούν εξαρτήματα αυτοκινήτου, συναρμολογούν κώδικα συγχωνεύοντας υπάρχοντα εξαρτήματα ανοιχτού κώδικα με τον μοναδικό τους κώδικα. Αν και αυτό οδηγεί σε αυξημένη παραγωγικότητα και καινοτομία, έχει επίσης δημιουργήσει σημαντικά ζητήματα ασφάλειας», δήλωσε ο Matt Jarvis, Διευθυντής Σχέσεων Προγραμματιστή στη Snyk.
Ο πυρήνας του Linux είναι ένα από τα πρώτα προγράμματα που φορτώνεται όταν οι περισσότεροι υπολογιστές είναι ενεργοποιημένοι. Επιτρέπει στο υλικό του μηχανήματος να αλληλεπιδρά με το λογισμικό, διέπει τη χρήση των πόρων και αποτελεί τη βάση του λειτουργικού συστήματος. Είναι το δομικό στοιχείο σχεδόν όλων των υπολογιστών νέφους, σχεδόν όλων των υπερυπολογιστών, ολόκληρου του Διαδικτύου των πραγμάτων, δισεκατομμυρίων smartphone και άλλων.
Αλλά ο πυρήνας είναι επίσης ανοιχτού κώδικα, που σημαίνει ότι ο καθένας μπορεί να γράψει, να διαβάσει και να χρησιμοποιήσει τον κώδικά του. Και αυτό ανησυχεί σοβαρά ορισμένους ειδικούς στον κυβερνοχώρο. Η φύση του ανοιχτού κώδικα σημαίνει ότι ο πυρήνας του Linux, μαζί με ένα μεγάλο μέρος άλλου κρίσιμου λογισμικού ανοιχτού κώδικα, είναι ευάλωτος σε εχθρική χειραγώγηση με τρόπους που μόλις αρχίζουμε να κατανοούμε.
Ενώ είναι αλήθεια ότι αυτή η τεχνολογία είναι απαραίτητη για την κοινωνία μας, είναι εξίσου αλήθεια ότι, δεδομένων των παραπάνω, η έλλειψη κατανόησης της ασφάλειας του πυρήνα σημαίνει ότι δεν μπορούμε να ασφαλίσουμε κρίσιμες υποδομές. Σήμερα, η DARPA θέλει να κατανοήσει τον κώδικα και τη δυναμική της κοινότητας που καθιστούν λειτουργικά αυτά τα έργα ανοιχτού κώδικα , προκειμένου να κατανοήσει καλύτερα τους κινδύνους που αντιμετωπίζουν.
Στόχος είναι ο αποτελεσματικός εντοπισμός κακόβουλων παραγόντων και η αποτροπή της διατάραξης ή της καταστροφής κρίσιμης σημασίας κώδικα ανοιχτού κώδικα πριν να είναι πολύ αργά. Το πρόγραμμα SocialCyber της DARPA είναι ένα 18μηνο έργο πολλών εκατομμυρίων δολαρίων που θα συνδυάσει την κοινωνιολογία με τις πρόσφατες τεχνολογικές εξελίξεις στην τεχνητή νοημοσύνη για τη χαρτογράφηση, την κατανόηση και την προστασία της τεράστιας κοινότητας λογισμικού ανοιχτού κώδικα και του κώδικα που δημιουργούν.
Αυτό το έργο είναι διαφορετικό από τις περισσότερες προηγούμενες έρευνες επειδή συνδυάζει την αυτοματοποιημένη ανάλυση κώδικα και τις κοινωνικές διαστάσεις του ελεύθερου λογισμικού.
Η DARPA έχει προσλάβει αρκετές ομάδες, συμπεριλαμβανομένων μικρών εργαστηρίων έρευνας για την κυβερνοασφάλεια με βαθιές τεχνικές δεξιότητες. Ένας τέτοιος φορέας υλοποίησης είναι η Margin Research με έδρα τη Νέα Υόρκη, η οποία έχει συγκεντρώσει μια ομάδα ερευνητών με υψηλό βαθμό σεβασμού για το έργο. Η Margin Research επικεντρώνεται στον πυρήνα του Linux εν μέρει επειδή είναι τόσο μεγάλος και κρίσιμος που η επιτυχία εδώ σε αυτή την κλίμακα σημαίνει ότι η επιτυχία και αλλού είναι εφικτή.
Στόχος είναι η ανάλυση τόσο του κώδικα όσο και της κοινότητας, ώστε τελικά να οπτικοποιηθεί και να κατανοηθεί ολόκληρο το οικοσύστημα . Η εργασία του Margin βοηθά στον προσδιορισμό του ποιος εργάζεται σε ποια συγκεκριμένα μέρη έργων λογισμικού ανοιχτού κώδικα. Για παράδειγμα, η Huawei είναι αυτή τη στιγμή ο μεγαλύτερος συνεισφέρων στον πυρήνα του Linux. Ένας άλλος συνεισφέρων εργάζεται για την Positive Technologies, μια ρωσική εταιρεία κυβερνοασφάλειας που, όπως και η Huawei, έχει υποστεί κυρώσεις από την κυβέρνηση των ΗΠΑ, λέει ο Aitel. Η Margin χαρτογράφησε επίσης κώδικα που γράφτηκε από υπαλλήλους της NSA, πολλοί από τους οποίους συμμετέχουν σε διάφορα έργα ανοιχτού κώδικα.
«Αυτό το θέμα με ενθουσιάζει», λέει ο Antoine για την αναζήτηση καλύτερης κατανόησης του κινήματος ανοιχτού κώδικα, «γιατί ειλικρινά, ακόμη και τα πιο απλά πράγματα φαίνονται τόσο νέα σε τόσους πολλούς σημαντικούς ανθρώπους. Η κυβέρνηση μόλις συνειδητοποίησε ότι η υποδομή μας ζωτικής σημασίας χρησιμοποιεί κώδικα που θα μπορούσε κυριολεκτικά να γραφτεί από οντότητες υπό κυρώσεις. Τώρα αμέσως."
Για να γίνει αυτό, οι ερευνητές θα χρησιμοποιήσουν εργαλεία όπως η ανάλυση συναισθημάτων για να αναλύσουν τις κοινωνικές αλληλεπιδράσεις εντός κοινοτήτων ανοιχτού κώδικα, όπως η λίστα αλληλογραφίας του πυρήνα Linux, η οποία θα βοηθήσει στον εντοπισμό του ποιος είναι θετικός ή εποικοδομητικός και ποιος είναι αρνητικός και καταστροφικός.
Οι ερευνητές θέλουν να μάθουν τι είδους γεγονότα και συμπεριφορές μπορούν να διαταράξουν ή να βλάψουν τις κοινότητες ελεύθερου λογισμικού, ποια μέλη είναι αξιόπιστα και αν υπάρχουν συγκεκριμένες ομάδες που απαιτούν αυξημένο έλεγχο. Αυτές οι απαντήσεις είναι αναγκαστικά υποκειμενικές. Αλλά προς το παρόν, υπάρχουν λίγοι τρόποι για να τις εντοπίσουμε.
Πηγή: https://www.darpa.mil