A DARPA também confirma sua preocupação com a confiabilidade do código aberto

Há poucos dias publicamos a notícia sobre um relatório que foi divulgado sobre a preocupação de muitas empresas pou a confiabilidade do código aberto e agora a DARPA, o braço de pesquisa das forças armadas dos EUA, fez saber que está "preocupada com a confiabilidade do código aberto" e diz que quer entender o ecossistema de tecnologia mais importante do planeta, o que alguns analistas consideram distante. buscado dizer que o código aberto é executado em todos os computadores do planeta e mantém a infraestrutura crítica em execução.

Por um novo relatório de empresa de segurança para desenvolvedores Snyk e Linux Foundation, 41% das empresas não têm um alto grau de confiança na segurança de seu software de código aberto e o uso generalizado apresenta riscos significativos. Grande parte da civilização moderna de hoje depende de um corpo de código aberto em constante expansão porque economiza dinheiro, atrai talentos e facilita muitas tarefas.

“Espere um minuto, literalmente tudo o que fazemos é executado no Linux”, diz Dave Aitel, pesquisador de segurança cibernética e ex-cientista de segurança de computadores da NSA. "As pessoas estão percebendo agora", diz ele. “Não é exagero dizer que todo mundo é baseado no kernel Linux, mesmo que a maioria das pessoas nunca tenha ouvido falar dele. »

“Os desenvolvedores de software hoje têm suas próprias cadeias de suprimentos. Em vez de montar peças de carros, eles montam código mesclando componentes de código aberto existentes com seu código exclusivo. Embora isso leve ao aumento da produtividade e inovação, também criou problemas de segurança significativos”, disse Matt Jarvis, Diretor de Relações com Desenvolvedores da Snyk.

O kernel do Linux é um dos primeiros programas a carregar quando a maioria dos computadores está ligada. Ele permite que o hardware da máquina interaja com o software, rege o uso de recursos e forma a base do sistema operacional. É o alicerce de quase toda computação em nuvem, quase todos os supercomputadores, toda a Internet das Coisas, bilhões de smartphones e muito mais.

Mas o núcleo também é de código aberto, como significa que qualquer pessoa pode escrever, ler e usar seu código. E isso preocupa seriamente alguns especialistas em segurança cibernética. Sua natureza de código aberto significa que o kernel do Linux, juntamente com uma série de outros softwares críticos de código aberto, está aberto à manipulação hostil de maneiras que ainda mal entendemos.

Embora seja verdade que é uma tecnologia essencial para nossa sociedade, não é menos verdade que, diante do exposto, não entender a segurança do kernel significa que não podemos proteger infraestruturas críticas. Hoje, A DARPA quer entender a colisão de código e comunidade que faz esses projetos de código aberto funcionarem, para entender melhor os riscos que enfrentam.

O objetivo é ser capaz de reconhecer efetivamente os agentes mal-intencionados e impedi-los de interromper ou corromper o código-fonte aberto. criticamente importante antes que seja tarde demais. O programa SocialCyber ​​da DARPA é um projeto multimilionário de 18 meses que combinará sociologia com avanços tecnológicos recentes em inteligência artificial para mapear, entender e proteger a vasta comunidade de software livre e o código que eles criam.

Este projeto é diferente da maioria das pesquisas anteriores porque combina a análise automatizada de código e as dimensões sociais do software livre.

A DARPA contratou várias equipes, incluindo pequenos workshops de pesquisa de segurança cibernética com habilidades técnicas profundas. Um desses implementadores é a Margin Research, com sede em Nova York, que reuniu uma equipe de pesquisadores altamente respeitados Para o dever de casa. A pesquisa de margem se concentra no kernel do Linux em parte porque é tão grande e tão crítico que o sucesso aqui nesta escala significa sucesso em todos os outros lugares.

O objetivo é analisar tanto o código quanto a comunidade para finalmente visualizar e entender todo o ecossistema.. O trabalho de margem ajuda a determinar quem trabalha em quais partes específicas dos projetos de software livre. Por exemplo, a Huawei é atualmente a maior colaboradora do kernel Linux. Outro colaborador trabalha para a Positive Technologies, uma empresa russa de segurança cibernética que, como a Huawei, foi sancionada pelo governo dos EUA, diz Aitel. Margin também mapeou código escrito por funcionários da NSA, muitos dos quais estão envolvidos em diferentes projetos de código aberto.

“Este tópico me excita”, diz Antoine sobre a busca para entender melhor o movimento de código aberto, “porque honestamente, até as coisas mais simples parecem tão novas para tantas pessoas importantes. O governo acabou de perceber que nossa infraestrutura crítica usa código que poderia literalmente ser escrito por entidades sancionadas. Neste momento."

Para fazer isso, os pesquisadores usarão ferramentas como análise de sentimentos para analisar interações sociais dentro de comunidades de código aberto, como a lista de discussão do kernel Linux, que deve ajudar a identificar quem é positivo ou construtivo e quem é negativo e destrutivo.

Os investigadores eles querem saber que tipos de eventos e comportamentos podem atrapalhar ou prejudicar comunidades de software livre, quais membros são confiáveis ​​e se existem grupos específicos que garantem maior vigilância. Essas respostas são necessariamente subjetivas. Mas agora, existem algumas maneiras de encontrá-los.

fonte: https://www.darpa.mil