Это объявление последовало за значительным ростом и продолжающимся развитием Open VSX Registry, который недавно превысил 300 миллионов ежемесячных загрузок и стал критически важной инфраструктурой для IDE, ориентированных на искусственный интеллект, облачных сред разработки и платформ, совместимых с VS Code, используемых миллионами разработчиков по всему миру.
«Open VSX — это критически важная инфраструктура для современных платформ разработки, что делает его все более привлекательной целью для злоумышленников и подчеркивает необходимость активного снижения рисков», — сказал Майк Милинкович, исполнительный директор фонда Eclipse Foundation. «По мере ускорения внедрения и усложнения угроз ответственные исследования в области безопасности становятся крайне важными. Эта программа создает четкий путь для сотрудничества исследователей с нами и признания их вклада в защиту экосистемы».
Укрепление безопасности цепочки поставок посредством ответственного раскрытия информации
Поскольку реестры расширений играют все более важную роль в современной разработке программного обеспечения, они также стали частью активной угрозы для цепочки поставок программного обеспечения. Злоумышленники продемонстрировали свою способность использовать экосистемы расширений для распространения вредоносного кода, компрометации сред разработки и доступа к конфиденциальным данным.
Реестр Open VSX внедрил ряд превентивных мер безопасности для устранения этих рисков, включая проверку перед публикацией, обнаружение вредоносных шаблонов и улучшение инфраструктуры для повышения отказоустойчивости и доверия.
Программа признания заслуг исследователей в области информационной безопасности развивает эти усилия следующим образом:
Содействие своевременному и ответственному раскрытию уязвимостей
Обеспечение прямого и прозрачного процесса уведомления
Поддержка корректирующих действий координируется с поставщиками услуг по техническому обслуживанию и заинтересованными сторонами
Укрепление сотрудничества с мировым сообществом исследователей в области безопасности
Публично отмечайте вклад, оказавший значительное влияние
Модель, основанная на распознавании, для поддержки сообщества исследователей в области безопасности
Программа признания заслуг исследователей в области безопасности Open VSX призвана дополнить существующие методы обеспечения безопасности, сосредоточившись на признании заслуг, прозрачности и сотрудничестве, а не на финансовых стимулах.
Участники, отвечающие установленным критериям, могут получить:
Публичное признание в Зале славы Open VSX Security
Цифровые значки и сертификаты признания, которыми можно делиться
Поощрительные награды в зависимости от уровня влияния и вклада
Награда присуждается на основе значимости полученных результатов, качества отчета и соблюдения принципов ответственного раскрытия информации. В программе могут принять участие независимые исследователи, академические учреждения, консалтинговые компании в области безопасности, участники проектов с открытым исходным кодом и разработчики, которые выявляют реальные риски в экосистеме Open VSX.
Поддержка открытой и заслуживающей доверия инфраструктуры разработки
Open VSX — это независимый от поставщиков реестр расширений, управляемый фондом Eclipse Foundation, который поддерживает быстро расширяющуюся экосистему инструментов и платформ разработки. По мере роста зависимости от экосистем расширений поддержание доверия требует как технических мер безопасности, так и активного участия сообщества.
Данная программа подтверждает общую приверженность фонда Eclipse Foundation развитию следующих направлений:
безопасность цепочки поставок программного обеспечения
Прозрачное управление, независимое от поставщиков
Долгосрочная устойчивость инфраструктуры с открытым исходным кодом
Как принять участие
Исследователи в области безопасности, разработчики и члены сообщества приглашаются к участию в укреплении безопасности и надежности экосистемы Open VSX. Программа признания исследователей Open VSX предоставляет четкий путь для ответственного раскрытия уязвимостей, а также возможности для более широкого участия в проекте и сообществе.
