Несколько дней назад мы опубликовали новость о докладе, в котором выражалась обеспокоенность многих компаний по поводу надежности открытого программного обеспечения , а теперь DARPA, исследовательское подразделение американских военных, заявило, что оно «обеспокоено надежностью открытого программного обеспечения» и хочет понять важнейшую технологическую экосистему на планете. Некоторые аналитики считают преувеличением утверждение, что открытый исходный код работает на каждом компьютере на планете и обеспечивает функционирование критической инфраструктуры.
Согласно новому отчету компании Snyk, занимающейся вопросами безопасности разработчиков , и фонда Linux Foundation, 41% предприятий не испытывают высокой степени уверенности в безопасности своего программного обеспечения с открытым исходным кодом, а его широкое использование представляет значительные риски. Большая часть современной цивилизации опирается на постоянно расширяющийся объем кода с открытым исходным кодом, поскольку это экономит деньги, привлекает талантливых специалистов и упрощает многие задачи.
«Подождите минутку, буквально все, что мы делаем, работает на Linux», — говорит Дэйв Айтел, исследователь кибербезопасности и бывший специалист по компьютерной безопасности АНБ. «Люди сейчас это понимают, — говорит он. «Не будет преувеличением сказать, что все основаны на ядре Linux, хотя большинство людей никогда о нем не слышали. »
«У разработчиков программного обеспечения сегодня есть собственные цепочки поставок. Вместо того, чтобы собирать автомобильные детали, они собирают код, объединяя существующие компоненты с открытым исходным кодом со своим уникальным кодом. Хотя это приводит к повышению производительности и инновациям, это также создает серьезные проблемы с безопасностью», — сказал Мэтт Джарвис, директор по связям с разработчиками в Snyk.
Ядро Linux является одной из первых программ, загружаемых при включении большинства компьютеров. Он позволяет оборудованию машины взаимодействовать с программным обеспечением, управляет использованием ресурсов и составляет основу операционной системы. Это строительный блок почти всех облачных вычислений, почти всех суперкомпьютеров, всего Интернета вещей, миллиардов смартфонов и многого другого.
Но ядро также является открытым исходным кодом, а это значит, что любой может писать, читать и использовать его код. И это серьезно беспокоит некоторых экспертов по кибербезопасности. Открытый исходный код означает, что ядро Linux, наряду со значительной частью другого критически важного программного обеспечения с открытым исходным кодом, уязвимо для враждебных манипуляций способами, которые мы только начинаем понимать.
Хотя эта технология и имеет важное значение для нашего общества, столь же верно и то, что, учитывая вышесказанное, непонимание безопасности ядра системы означает невозможность обеспечения безопасности критической инфраструктуры. Сегодня DARPA хочет понять код и динамику сообщества, которые обеспечивают работу этих проектов с открытым исходным кодом , чтобы лучше понять риски, с которыми они сталкиваются.
Цель состоит в том, чтобы эффективно выявлять злоумышленников и предотвращать нарушение или повреждение критически важного кода с открытым исходным кодом до того, как станет слишком поздно. Программа SocialCyber от DARPA — это 18-месячный многомиллионный проект, который объединит социологию с последними технологическими достижениями в области искусственного интеллекта для составления карты, понимания и защиты обширного сообщества разработчиков программного обеспечения с открытым исходным кодом и создаваемого ими кода.
Этот проект отличается от большинства предыдущих исследований, поскольку он сочетает в себе автоматический анализ кода и социальные аспекты свободного программного обеспечения.
DARPA заключила контракты с несколькими группами, включая небольшие исследовательские центры по кибербезопасности, обладающие глубокими техническими знаниями. Одним из таких исполнителей является нью-йоркская компания Margin Research, которая собрала для этой задачи команду высококвалифицированных исследователей . Margin Research сосредоточилась на ядре Linux отчасти потому, что это настолько масштабный и критически важный проект, что успех в этом масштабе означает возможность успеха и в других областях.
Цель состоит в том, чтобы проанализировать как код, так и сообщество, чтобы в конечном итоге визуализировать и понять всю экосистему . Работа Margin помогает определить, кто работает над какими конкретными частями проектов с открытым исходным кодом. Например, Huawei в настоящее время является крупнейшим участником разработки ядра Linux. Другой участник работает в Positive Technologies, российской компании по кибербезопасности, которая, как и Huawei, находится под санкциями правительства США, говорит Айтел. Margin также составила карту кода, написанного сотрудниками АНБ, многие из которых участвуют в различных проектах с открытым исходным кодом.
«Эта тема волнует меня, — говорит Антуан о стремлении лучше понять движение за открытый исходный код, — потому что, честно говоря, даже самые простые вещи кажутся такими новыми для многих важных людей. Правительство только что осознало, что наша критически важная инфраструктура использует код, который буквально может быть написан попавшими под санкции организациями. Прямо сейчас."
Для этого исследователи будут использовать такие инструменты, как анализ настроений для анализа социальных взаимодействий в сообществах с открытым исходным кодом, таких как список рассылки ядра Linux, который должен помочь определить, кто является позитивным или конструктивным, а кто негативным и деструктивным.
Исследователи хотят знать, какие события и модели поведения могут нарушить или навредить сообществам свободного программного обеспечения, каким их участникам можно доверять и существуют ли определенные группы, заслуживающие более пристального внимания. Ответы на эти вопросы, безусловно, субъективны. Но на данный момент существует немного способов их найти.
Источник: https://www.darpa.mil