O desenvolvimento de aplicativos envolve uma enorme cadeia de suprimentos de software de código aberto. E, infelizmente, desenvolvedores em todo o espaço corporativo estão preocupados com a segurança dessa cadeia de suprimentos da qual eles dependem fortemente para o desenvolvimento de seus aplicativos. Para melhorar isso, o Google planeja disponibilizar seu próprio repositório interno de componentes de código aberto com segurança reforçada como um novo serviço pago chamado Assured Open Source Software (Assured OSS).
Assured Open Source Software
O serviço conterá pacotes comuns de código aberto que foram criados a partir do código-fonte após a proveniência do código e de suas dependências terem sido verificadas e o código ter sido revisado e testado quanto a vulnerabilidades, aponta o CSOOnline.
Os pacotes resultantes conterão metadados avançados em conformidade com a nova estrutura Níveis da cadeia de suprimentos para artefatos de software (SLSA) e serão assinados digitalmente pelo Google.
O novo serviço estará disponível apenas para clientes selecionados para testes de acesso antecipado e deverá entrar em um estágio de visualização pública no terceiro trimestre de 2022. O preço ainda não foi decidido, embora seja um serviço pago para aliviar os custos de infraestrutura associados construir e hospedar os pacotes, bem como os testes de segurança, que incluem testes fuzz automatizados com mais de 100.000 núcleos.
O serviço começará com uma coleção de cerca de 500 pacotes Java e Python que o Google usa, mas será expandido no futuro para cobrir outras linguagens de programação. Além disso, os clientes também poderão enviar quaisquer pacotes de código aberto em que confiam para serem adicionados e gerenciados por meio do repositório e receber o mesmo tratamento de garantia de segurança que os existentes.
Manter componentes de software locais não é fácil
A abordagem do Google é o que todas as organizações que desenvolvem software já deveriam estar fazendo para lidar com alguns dos riscos da cadeia de suprimentos, que são manter cópias locais dos componentes que usam em seus repositórios locais, em vez de extraí-los diretamente dos repositórios públicos. Isso lhes daria um buffer caso um dos pacotes ou suas dependências fossem comprometidos e envenenados com código malicioso, aponta o CSOOnline.
Notícias Relacionadas
Audiolivros Spotify
Spotify expande catálogo de audiolivros com parceria estratégica
Spotify firmou parceria com a Bloomsbury Publishing para expandir seu catálogo de audiolivros. A nova coleção inclui 1.000 títulos de autores aclamados e narradores de destaque, fortalecendo o papel dos audiolivros na plataforma.
Tecnologia móvel
Samsung destaca avanço nas mensagens RCS com suporte no iOS
O suporte a RCS chega ao iOS com o iOS 18.1, permitindo que usuários de Android e iPhone aproveitem uma experiência de mensagens aprimorada e sem necessidade de redes sociais.
No entanto, essa prática também pode levar a atrasos na correção se não for gerenciada adequadamente, pois as versões internas do pacote podem se tornar obsoletas se as correções de segurança upstream não forem inseridas regularmente.
Muitos estudos descobriram ao longo dos anos que os aplicativos corporativos usam versões desatualizadas e vulneráveis de componentes de código aberto em seus aplicativos. Ou seja, algumas falhas de segurança podem acabar surgindo.
Corrigindo versões de código aberto mais antigas
O Google planeja resolver alguns desses problemas fazendo backport de patches de segurança para versões mais antigas dos pacotes afetados, mesmo que o mantenedor original não o faça. Assim, haverá um atraso entre o lançamento de uma nova versão e o momento em que uma cópia auditada e assinada pelo Google aparecer no repositório do Assured OSS.
O Google é um dos maiores contribuidores de projetos de código aberto e seus pesquisadores já descobriram mais de 16.000 vulnerabilidades até agora. Além disso, a empresa fará parceria com a empresa de segurança para desenvolvedores Snyk, onde o Assured OSS será integrado à plataforma e ferramentas da Snyk e à inteligência de vulnerabilidades da Snyk.
As ações acionadas e as recomendações de correção ficarão disponíveis para clientes conjuntos nas ferramentas de ciclo de vida de desenvolvimento de software do Google Cloud.
Via: CSOOnline
