Ponen en marcha un programa para determinar si el software open source es o no seguro

¿Cómo garantizar que el software, y en concreto el software open source, cumple con altos estándares de seguridad, calidad y estabilidad?

The Linux Foundation, a través del proyecto Core Infrastructure Initiative (CII), ha decidido aclarar dudas poniendo en marcha un programa gratuito para determinar que los desarrollos de código abierto cumplen con una serie de requisitos y buenas prácticas.

El programa en cuestión se llama CII Best Practices Badges y cuenta con una aplicación online a la que pueden recurrir los propios desarrolladores para evaluar su trabajos. En caso de pasar el corte, que es algo que se determina en menos de una hora, según explican sus responsables, recibirán una insignia identificativa que luego se puede colgar en lugares como GitHub para mayor aval.

Entre quienes ya han recibido sus insignias se encuentran Curl, GitLab, el kernel Linux, OpenBlox, Node.js y Zephyr. También OpenSSL, que antes de Heartbleed cumplía sólo un tercio de los criterios y ahora ya estaría conforme al 100 %.

Todo esto se encuentra bajo la dirección de David A. Wheeler, miembro del Institute for Defense Analyses, y de Dan Kohn, que es un asesor de alto rango de la CII. El propio programa CII Best Practices Badges, su aplicación y sus principios se rigen como un proyecto de código abierto que admite las contribuciones de terceros como forma de mantenerlo siempre actualizado.

“Los proyectos de código abierto ponen a menudo en acción muy buenas prácticas de seguridad, pero necesitan una manera de validarlas frente a las mejores prácticas de la industria y de la comunidad, y asegurar que siempre están mejorando”, comenta sobre esa iniciativa Nicko van Sommeren, CTO de The Linux Foundation.

“Gracias a las generosas contribuciones de los simpatizantes de la Core Infrastructure Initiative, somos capaces de ofrecer este programa para educar a los desarrolladores sobre las mejores prácticas de seguridad y proporcionar un directorio para que desarrolladores y CIO entiendan qué proyectos tienen una comprensión y metodología que se centra en la seguridad”, concluye van Sommeren.