Qualche giorno fa abbiamo pubblicato la notizia di un rapporto che esprimeva preoccupazione per l'affidabilità dell'open source da parte di molte aziende , e ora la DARPA, il braccio di ricerca del Dipartimento della Difesa statunitense, ha annunciato di essere "preoccupata per l'affidabilità dell'open source" e di voler comprendere l'ecosistema tecnologico più importante del pianeta. Alcuni analisti ritengono che sia un'esagerazione affermare che l'open source gira su ogni computer del pianeta e mantiene in funzione le infrastrutture critiche.
Secondo un nuovo rapporto della società di sicurezza per sviluppatori Snyk e della Linux Foundation, il 41% delle aziende non ha un alto grado di fiducia nella sicurezza del proprio software open source e il suo utilizzo diffuso presenta rischi significativi. Gran parte della civiltà moderna si basa su un corpus di codice open source in continua espansione perché consente di risparmiare denaro, attrae talenti e semplifica molte attività.
"Aspetta un minuto, letteralmente tutto ciò che facciamo funziona su Linux", afferma Dave Aitel, un ricercatore di sicurezza informatica ed ex scienziato della sicurezza informatica della NSA. "La gente ora se ne sta rendendo conto", dice. “Non è esagerato dire che tutti si basano sul kernel Linux, anche se la maggior parte delle persone non ne ha mai sentito parlare. »
“Gli sviluppatori di software oggi hanno le proprie catene di approvvigionamento. Invece di assemblare parti di automobili, assemblano il codice unendo i componenti open source esistenti con il loro codice univoco. Sebbene ciò porti a una maggiore produttività e innovazione, ha anche creato notevoli problemi di sicurezza", ha affermato Matt Jarvis, Direttore delle relazioni con gli sviluppatori di Snyk.
Il kernel Linux è uno dei primi programmi da caricare quando la maggior parte dei computer è accesa. Consente all'hardware della macchina di interagire con il software, regola l'uso delle risorse e costituisce la base del sistema operativo. È l'elemento costitutivo di quasi tutto il cloud computing, quasi tutti i supercomputer, l'intero Internet delle cose, miliardi di smartphone e altro ancora.
Ma il kernel è anche open source, il che significa che chiunque può scriverne, leggerne e utilizzarne il codice. E questo preoccupa seriamente alcuni esperti di sicurezza informatica. La sua natura open source implica che il kernel Linux, insieme a molti altri software open source critici, sia vulnerabile a manipolazioni ostili in modi che stiamo solo ora iniziando a comprendere.
Se è vero che questa tecnologia è essenziale per la nostra società, è altrettanto vero che, alla luce di quanto detto sopra, una scarsa comprensione della sicurezza del kernel ci impedisce di proteggere le infrastrutture critiche. Oggi, la DARPA intende comprendere il codice e le dinamiche della comunità che rendono possibili questi progetti open source , al fine di comprendere meglio i rischi a cui sono esposti.
L'obiettivo è identificare efficacemente gli attori malintenzionati e impedire loro di interrompere o corrompere codice open source di importanza critica prima che sia troppo tardi. Il programma SocialCyber della DARPA è un progetto multimilionario della durata di 18 mesi che combinerà la sociologia con i recenti progressi tecnologici nell'intelligenza artificiale per mappare, comprendere e proteggere la vasta comunità del software open source e il codice che essa crea.
Questo progetto è diverso dalla maggior parte delle ricerche precedenti perché combina l'analisi automatizzata del codice e le dimensioni sociali del software libero.
La DARPA ha incaricato diversi team, tra cui piccoli laboratori di ricerca sulla sicurezza informatica con competenze tecniche approfondite. Uno di questi è Margin Research, con sede a New York, che ha riunito un team di ricercatori di grande prestigio per questo compito. Margin Research si sta concentrando sul kernel Linux in parte perché è talmente vasto e critico che un successo su questa scala significa che il successo su altri fronti è possibile.
L'obiettivo è analizzare sia il codice che la community per visualizzare e comprendere appieno l'intero ecosistema . Il lavoro di Margin aiuta a determinare chi lavora su quali parti specifiche dei progetti software open source. Ad esempio, Huawei è attualmente il principale contributore al kernel Linux. Un altro contributore lavora per Positive Technologies, un'azienda russa di sicurezza informatica che, come Huawei, è stata sanzionata dal governo statunitense, afferma Aitel. Margin ha anche mappato il codice scritto dai dipendenti della NSA, molti dei quali sono coinvolti in vari progetti open source.
"Questo argomento mi entusiasma", dice Antoine della ricerca per comprendere meglio il movimento open source, "perché onestamente, anche le cose più semplici sembrano così nuove per così tante persone importanti. Il governo si è appena reso conto che la nostra infrastruttura critica utilizza codice che potrebbe letteralmente essere scritto da entità sanzionate. Proprio adesso."
Per fare ciò, i ricercatori utilizzeranno strumenti come l'analisi del sentimento per analizzare le interazioni sociali all'interno delle comunità open source, come la mailing list del kernel Linux, che dovrebbe aiutare a identificare chi è positivo o costruttivo e chi è negativo e distruttivo.
I ricercatori vogliono capire quali tipi di eventi e comportamenti possono turbare o danneggiare le comunità del software libero, quali membri sono affidabili e se esistono gruppi specifici che meritano un maggiore controllo. Queste risposte sono necessariamente soggettive. Ma al momento, ci sono pochi modi per trovarle.
Fonte: https://www.darpa.mil