Google, açık kaynaklı yazılımları güvence altına almak için 1 milyon dolarlık sponsorluk açıkladı

Google, kritik öneme sahip açık kaynaklı yazılım projelerinin güvenliğini daha fazla arttırmak amacıyla Linux Vakfı tarafından yönetilen The Secure Open Source Rewards pilot programına sponsor olduğunu duyurdu.

Linux Vakfı tarafından yürütülen SOS programının amacı pek çok kuruluş tarafından kullanılan ve ‘kritik’ olarak kabul edilen açık kaynaklı yazılım projelerinin güvenliğini arttırabilmek için projeyi yöneten geliştiricileri finansal olarak desteklemektir. Google’da bu kapsamda gerçekleştirilecek ödemeleri finanse edilebilmesi için 1 milyon dolarlık bir bağışta bulundu.

10 Milyar Dolarlık taahhüdün bir parçası

Hatırlanacağı gibi Ağustos ayının son haftasında Beyaz Ev ve ABD’nin teknolojik devleri arasında, ülkenin siber güvenliğini daha üst bir düzeye çıkarmak amacıyla bir toplantı düzenlenmişti. Yapılan toplantı sonrasında Google, yazılım tedarik zincirinin güvenliğini sağlamaya yardımcı olmak, zero-trust programını genişletmek ve ayrıca açık kaynak güvenliğini artırmak dahil olmak üzere gelecek 10 yıl içerisinde 10 Milyar Dolarlık yatırım yapacağını açıklamıştı. Açıklanan sponsorluk desteğininde verilen taahhüdünün bir parçası olarak geçiyor.

NIST tarafından oluşturulan yönergeler takip edilecek

Bir açık kaynaklı bir projeyi neyin kritik yaptığına dair tek bir tanım olmadığı için Google, seçim sürecinin bütünsel olacağını belirtiyor. Bu kapsamda Google, Ulusal Standartlar ve Teknoloji Enstitüsü (NIST) tarafından oluşturulan kritik yazılımları nelerin oluşturduğuna dair yönergeleri dikkate alacağını belirtiyor.

İlk olarak hangi çalışamalar finanse edilecek?

Projenin web sitesine göre pilot programının hangi çalışamların öncelikle finanse edileceği ile ilgili olarak;

— CI/CD işlem hatlarının ve dağıtım altyapısının güçlendirilmesi dahil olmak üzere yazılım tedarik zinciri güvenlik iyileştirmeleri.
— Software artifact signing ve doğrulamasının benimsenmesi.
— Daha yüksek OpenSSF Puan Kartı  sonuçları üreten proje geliştirmeleri.
— OpenSSF Allstar kullanımı ve keşfedilen sorunların düzeltilmesi.
— CII En İyi Uygulamalar Rozeti kazanma.

Belirtilen listenin zaman içerisinde genişleyeceği ve listede olmayan iyileştirmeler içinde(kıstaslar sağlanması halinde) başvuruların kabul edileceğide belirtiliyor.

Açıklanan ödüller nelerdir?

— Etkilenen kodda veya destekleyici altyapıdaki büyük güvenlik açıklarını neredeyse kesinlikle önleyen karmaşık, yüksek etkili ve kalıcı iyileştirmeler için 10 Bin Dolar ve üzeri,
— Zorlayıcı güvenlik avantajları sunan orta derecede karmaşık iyileştirmeler için 5-10 Bin Dolar arası,
— Daha basit derecede karmaşık iyileştirmeler için 1-5 Bin Dolar arası
— Güvenlik açısından değeri olan daha da küçük iyileştirmeler için 505 Dolar

ödeme gerçekleştirileceği belirtiliyor.