Google a engagé 1 million de dollars de financement pour le Open source sécurisé (SOS) mis en place par la Linux Foundation et l’investissement de l’entreprise pourrait ne pas s’arrêter là.
« Ce programme récompense financièrement les développeurs pour l’amélioration de la sécurité des projets open source critiques dont nous dépendons tous », Google mentionné. « Nous commençons avec un investissement de 1 million de dollars et prévoyons d’étendre la portée du programme en fonction des commentaires de la communauté. »
Les récompenses commencent à 505 $ pour les « petites améliorations qui ont néanmoins du mérite du point de vue de la sécurité » et peuvent atteindre 10 000 $ pour les « améliorations compliquées, à fort impact et durables qui empêchent presque certainement des vulnérabilités majeures dans le code affecté ou l’infrastructure de support ».
SOS ne s’appliquera pas à tous les projets open source. La Linux Foundation a déclaré que ses critères pour les projets critiques étaient informés par le Décret exécutif sur l’amélioration de la cybersécurité de la nation publié en mai et orientation correspondante de l’Institut national des normes et de la technologie.
La fondation a également déclaré qu’elle prendrait en compte l’impact du projet, comme l’importance de son infrastructure de sécurité et le nombre d’utilisateurs qu’il affecte, ainsi que son classement dans le Étude du recensement de Harvard 2 des packages les plus utilisés et un Score critique OpenSSF de 0,6 au minimum.
Google et la Linux Foundation ont déclaré que les efforts visant à améliorer la sécurité open source ne s’arrêteraient pas là :
Le programme SOS fait partie d’un effort plus large visant à répondre à une vérité croissante : le monde repose sur des logiciels open source, mais un soutien généralisé et des contributions financières sont nécessaires pour assurer la sécurité de ces logiciels. Cet investissement d’un million de dollars n’est qu’un début. Nous envisageons le programme pilote SOS comme le point de départ d’efforts futurs qui, espérons-le, rassembleront d’autres grandes organisations et en feront une initiative durable et à long terme dans le cadre de l’OpenSSF.
Plus d’informations sur le fonctionnement du programme pilote SOS sont disponibles sur son site officiel. Les développeurs qui pensent que leurs contributions à un projet sont éligibles à une récompense via le programme peuvent soumettre leur travail via un Formulaire Google (comment faire autrement ?) pour une évaluation « sur une base continue ».