Google ayudará a abrir

En un momento en que los ataques cibernéticos ocurren con una frecuencia creciente, Google anunció una nueva herramienta de seguridad con el objetivo de aumentar la seguridad del software de código abierto.

El software de código abierto asegurado (OSS) permitirá a los usuarios incorporar los propios paquetes de seguridad de Google en sus propios flujos de trabajo.

El software de código abierto sigue siendo un objetivo popular para los ataques de seguridad, y como Google señala en su anuncio, ha habido un aumento masivo de 650% año tras año en el número de ataques cibernéticos dirigidos a proveedores de código abierto. Como las cadenas de suministro de software a menudo utilizan código de código abierto para seguir siendo accesible y fácil de personalizar, son especialmente vulnerables a este tipo de ataques.

Google está lejos de ser la única entidad para abordar el hecho de que el software de código abierto, a pesar de sus abundantes beneficios, puede ser fácilmente abusado. La compañía, junto con OpenSSF y la Fundación Linux, está siguiendo las iniciativas de seguridad presentadas durante la reciente cumbre de la Casa Blanca sobre seguridad de código abierto. Microsoft también ha anunciado recientemente una nueva iniciativa basada en ciberseguridad.

Ha habido numerosas vulnerabilidades de ciberseguridad de alto perfil en el pasado reciente, como Log4J y Spring4Shell. En un intento por evitar que se realicen tales ataques, Google ahora ha introducido OSS seguro.

Como parte de Assured OSS, Google espera permitir a los usuarios tanto del sector empresarial como del sector público trabajar en los paquetes de Google OSS en sus propios flujos de trabajo de desarrolladores. En su propio fin, la compañía promete que los paquetes seleccionados por el servicio serán escaneados regularmente, probados con fuzz y analizar para asegurarse de que no hay vulnerabilidades para pasar las defensas.

Todos los paquetes se construirán con la compilación de la nube de Google y, por lo tanto, vendrán con el cumplimiento de SLSA verificable. SLSA significa niveles de cadena de suministro para artefactos de software y es un marco bien conocido que tiene como objetivo estandarizar la seguridad de las cadenas de suministro de software. Cada paquete también estará firmado verificablemente por Google y vendrá con metadatos correspondientes que incorporan los datos de análisis de contenedores/artefactos de Google.

Para enfocar aún más la ciberseguridad, Google también ha anunciado una nueva asociación con Snyk, una plataforma de seguridad de desarrolladores israelí. La OSS asegurada se integrará en las soluciones SNYK desde el primer momento, lo que permite que los clientes de ambas compañías se beneficien.

Google señaló una estadística asombrosa: dentro de los 550 proyectos de código abierto más comunes que escanea regularmente, ha logrado encontrar más de 36,000 vulnerabilidades a partir de enero de 2022. Eso solo muestra cuán importante es tomar medidas enérgicas contra la vulnerabilidad de estos Proyectos, ver como software de código abierto, es popular, necesario y definitivamente aquí para quedarse. Quizás el OSS asegurado de Google puede hacer que sea más seguro para todos los que se benefician de él.