Cette annonce fait suite à la dynamique importante et à la croissance continue du registre Open VSX, qui a récemment dépassé les 300 millions de téléchargements mensuels et est devenu une infrastructure essentielle pour les IDE natifs de l'IA, les environnements de développement cloud et les plateformes compatibles avec VS Code utilisées par des millions de développeurs dans le monde entier.
« Open VSX est une infrastructure essentielle pour les plateformes de développement modernes, ce qui en fait une cible de plus en plus prisée par les acteurs malveillants et renforce la nécessité d'une gestion proactive des risques », a déclaré Mike Milinkovich, directeur exécutif de la Fondation Eclipse. « Face à une adoption croissante et à des menaces de plus en plus sophistiquées, une recherche responsable en matière de sécurité est indispensable. Ce programme offre aux chercheurs un cadre clair pour collaborer avec nous et voir leur contribution à la protection de l'écosystème reconnue. ».
Renforcer la sécurité de la chaîne d'approvisionnement grâce à une divulgation responsable
Les registres d'extensions jouant un rôle de plus en plus central dans le développement logiciel moderne, ils sont également devenus une cible privilégiée des menaces pesant sur la chaîne d'approvisionnement logicielle. Les attaquants ont démontré leur capacité à exploiter les écosystèmes d'extensions pour diffuser du code malveillant, compromettre les environnements de développement et accéder à des données sensibles.
Le registre Open VSX a mis en place un certain nombre de mesures de sécurité proactives pour faire face à ces risques, notamment la vérification avant publication, la détection de schémas malveillants et des améliorations de l'infrastructure afin d'accroître la résilience et la confiance.
Le programme de reconnaissance des chercheurs en sécurité s'appuie sur ces efforts en :
Promouvoir la divulgation précoce et responsable des vulnérabilités
Mise en place d'un processus de notification direct et transparent
Soutien aux mesures correctives coordonnées avec les prestataires de maintenance et les parties prenantes
Renforcer la collaboration avec la communauté mondiale de la recherche en matière de sécurité
Reconnaître publiquement les contributions à fort impact
Un modèle basé sur la reconnaissance pour soutenir la communauté de recherche en sécurité
Le programme de reconnaissance des chercheurs en sécurité Open VSX est conçu pour compléter les pratiques de sécurité existantes en mettant l'accent sur la reconnaissance, la transparence et la collaboration, plutôt que sur les incitations financières.
Les contributeurs admissibles peuvent recevoir :
Reconnaissance publique au Temple de la renommée de la sécurité Open VSX
Badges numériques et certificats de reconnaissance partageables
Récompenses promotionnelles basées sur l'impact et le niveau de contribution
Ce prix récompense l'impact de la découverte, la qualité du rapport et le respect des pratiques de divulgation responsable. Le programme est ouvert aux chercheurs indépendants, aux établissements d'enseignement supérieur, aux cabinets de conseil en sécurité, aux contributeurs de logiciels libres et aux développeurs qui identifient des risques concrets dans l'écosystème Open VSX.
Soutien à une infrastructure de développement ouverte et fiable
Open VSX est un registre d'extensions indépendant des fournisseurs, géré par la Fondation Eclipse, qui soutient un écosystème d'outils et de plateformes de développement en pleine expansion. Face à la dépendance croissante envers les écosystèmes d'extensions, le maintien de la confiance exige des mesures de sécurité techniques et une participation active de la communauté.
Ce programme renforce l’engagement global de la Fondation Eclipse en faveur de la promotion :
sécurité de la chaîne d'approvisionnement des logiciels
Une gouvernance transparente et indépendante des fournisseurs
La viabilité à long terme de l'infrastructure open source
Comment participer
Les chercheurs en sécurité, les développeurs et les membres de la communauté sont invités à contribuer au renforcement de la sécurité et de la fiabilité de l'écosystème Open VSX. Le programme de reconnaissance des chercheurs Open VSX offre un cadre clair pour la divulgation responsable des vulnérabilités, ainsi que des opportunités de contribuer plus largement au projet et à la communauté.
