En el mundo del desarrollo de software, la seguridad de la cadena de suministro es una preocupación creciente. Un único punto débil en una biblioteca de código abierto puede tener consecuencias devastadoras. Para abordar este problema, GitHub ha puesto en marcha el GitHub Secure Open Source Fund, una iniciativa que busca fortalecer la seguridad de los proyectos de código abierto más importantes.
¿De qué se trata el GitHub Secure Open Source Fund?
Lanzado en noviembre de 2024, este fondo proporciona a los mantenedores de proyectos Open Source el apoyo financiero necesario para participar en un programa intensivo de tres semanas. Este programa ofrece:
- Educación en seguridad.
- Mentoría de expertos.
- Herramientas de análisis de seguridad.
- Certificación de buenas prácticas.
- Acceso a una comunidad de mantenedores centrados en la seguridad.
El objetivo principal es claro: aumentar el impacto de la seguridad, reducir los riesgos y proteger la cadena de suministro de software a gran escala.
Resultados tempranos y medibles
Las primeras dos sesiones del programa han reunido a 125 mantenedores de 71 proyectos Open Source de rápido crecimiento. Los resultados iniciales son prometedores:
- Se han solucionado más de 1,100 vulnerabilidades detectadas por CodeQL, reduciendo la superficie de ataque.
- Se han emitido más de 50 nuevos Common Vulnerabilities and Exposures (CVEs), informando y protegiendo a los proyectos que dependen de ellos.
- Se ha evitado la filtración de 92 nuevos secretos y se han resuelto 176 secretos filtrados.
- El 100% de los participantes se han comprometido a implementar medidas de seguridad en el roadmap del año siguiente.
- El 80% de los proyectos han habilitado tres o más funcionalidades de seguridad basadas en GitHub.
- El 63% de los participantes comprenden mejor la seguridad de la IA y MCP (Multi-Cloud Platform).
Además, los mantenedores han encontrado formas innovadoras de utilizar la IA, como GitHub Copilot, para realizar escaneos de vulnerabilidades, auditorías de seguridad y definir estrategias de fuzzing.
¿Cómo funciona el programa?
Cada sesión consta de un sprint de tres semanas, con un compromiso total de 12 meses. El programa está diseñado por el GitHub Security Lab y es impartido por expertos de GitHub y sus partners. El entrenamiento se estructura en diferentes áreas de enfoque por semana:
- Fundamentos de la seguridad Open Source.
- Modelado de amenazas y codificación segura.
- Gestión de vulnerabilidades y seguridad de la IA.
Cada proyecto recibe 10,000 USD a través de GitHub Sponsors, distribuidos a lo largo del programa. También se invita a los proyectos a una comunidad centrada en la seguridad y a horas de oficina con el GitHub Security Lab. Además, reciben recursos de seguridad para implementar en sus proyectos y créditos de Azure para infraestructura en la nube.
Proyectos destacados y su impacto
El programa ha tenido un impacto significativo en diversos tipos de proyectos. Algunos ejemplos notables son:
Ollama
Este proyecto facilita la ejecución local de modelos de lenguaje grandes (LLMs). Gracias al programa, Ollama realizó un modelado de amenazas exhaustivo de su sistema, desde el uso de GitHub Actions hasta la distribución de modelos, y eliminó dependencias innecesarias.
GravitasML (AutoGPT)
El equipo de AutoGPT integró CodeQL en cada pull request de la plataforma AutoGPT y GravitasML, creando un “agente de seguridad” que guía a los contribuyentes para reforzar los controles de seguridad mientras codifican. También revisaron su política de seguridad y establecieron un flujo de trabajo formal de respuesta a incidentes.
shadcn/ui
Esta biblioteca de componentes de React auditó sus workflows de GitHub Actions, actualizó su SECURITY.md y creó un framework para identificar posibles ataques y estrategias para mitigarlos. Además, habilitaron CodeQL y redactaron un modelo de amenazas y un flujo de reporte de vulnerabilidades.
Node.js
El equipo de seguridad de Node.js modernizó el modelo de amenazas del proyecto e impulsó la integración de CodeQL en el core, respaldado por un workflow que revisa automáticamente las alertas de escaneo de código.
Turborepo
Turborepo activó el reporte privado de vulnerabilidades en GitHub, reforzó los tokens de workflow y utilizó CodeQL para escanear cada pull request. Estas medidas protegen la caché de compilación que utilizan miles de monorepos.
Log4j
El equipo de Apache Log4j reforzó sus workflows de GitHub Actions contra la inyección de scripts, redactó un nuevo modelo de amenazas y profundizó la colaboración con la comunidad Open Source. Además, planean incluir un paquete de CodeQL para identificar patrones de logging inseguros.
Charset-Normalizer
Esta biblioteca de normalización de codificación reforzó sus defensas eliminando la autenticación de dos factores (2FA) basada en SMS, activando el escaneo de secretos en GitHub y corrigiendo workflows de GitHub Actions riesgosos. También están automatizando la generación de SBOM (Software Bill of Materials) para cada lanzamiento.
nvm
El gestor de versiones de Node publicó su primer plan de respuesta a incidentes y esbozó una hoja de ruta para una política pública de divulgación de vulnerabilidades. Además, el mantenedor aprendió a utilizar Copilot para obtener orientación en seguridad.
JUnit
JUnit implementó el escaneo end-to-end de CodeQL en todos sus repositorios, formalizó un plan público de respuesta a incidentes y bloqueó todos los workflows cambiando el GITHUB_TOKEN a permisos explícitos de mínimo privilegio.
Matplotlib
Este proyecto científico de Python reforzó los límites de permisos de GitHub Actions, revisó y amplió su SECURITY.md e inició un proceso formal de modelado de amenazas.
¿Por qué es importante para las empresas?
Las empresas se benefician enormemente del código Open Source, pero también enfrentan riesgos debido a las vulnerabilidades en el software del que dependen. Al convertirse en socios de financiación del GitHub Secure Open Source Fund, las empresas pueden reducir estos riesgos y fortalecer su propia cadena de suministro de software.
Únete a la misión
Asegurar el código Open Source es una tarea fundamental para mantener la integridad de Internet. GitHub invita a mantenedores de proyectos críticos, socios de financiación y socios del ecosistema a unirse a esta misión. Si escribes código, dependes del Open Source o simplemente quieres que la cadena de suministro de software se mantenga segura, hay un lugar para ti en esta iniciativa.
¡Contribuye a un futuro más seguro para el Open Source!
Fuente: GitHub Blog
Leave a Comment