
在OpenSSF供应链完整性工作组(SCI WG)内,我们正在主持一个由个人和组织组成的全球社区,为供应链安全的可扩展标准化可证明的做法进行合作。在这个过程中,我们正在为行业开发一个共享的词汇,一个共同的问题模型,以及跨越语言和生态系统的统一框架。
在OpenSSF供应链完整性工作组(SCI WG)内,我们正在主持一个由个人和组织组成的全球社区,为供应链安全的可扩展标准化可证明的做法进行合作。在这个过程中,我们正在为行业开发一个共享的词汇,一个共同的问题模型,以及跨越语言和生态系统的统一框架。
我们最近在不列颠哥伦比亚省温哥华举行的北美开源峰会上举办了OpenSSF日,围绕开源安全的现状进行了一整天的会议演讲、小组讨论和闪电式会谈。如果你没能参加,现在可以在我们的YouTube频道上观看视频,以下是当天的一些主要收获。
我们在SBOMs方面处于什么位置,社区在未来可能会走向什么?在布鲁塞尔FOSDEM 2023会议期间举办的2023年SBOM Devroom上,与会者讨论了与生成、理解、管理和转换软件物料清单(SBOM)有关的各种议题。
OpenSSF与Linux基金会研究部合作,最近推出了一项新的调查,以更好地了解OpenSSF软件安全意识。请在今天参加调查,分享您对我们的举措以及我们如何改进的反馈。我们希望听到你的意见!
开源安全基金会(OpenSSF)欢迎来自领先技术公司的四个新成员:日立、洛克希德-马丁、Salesforce和SAP。OpenSSF还欢迎新的总经理,Omkhar Arasaratnam,资深的网络安全和技术风险管理执行官。另外,微软和谷歌承诺为Alpha-Omega继续提供$500万美元的资金。
让我们先把话说清楚:你如何才能最好地加入像OpenSSF这样的组织并不总是很清楚。这就是为什么我以一个 "局外人 "的身份写这篇客座博文。我只是一个普通的技术雇员,自从我的公司Sonatype成为OpenSSF的成员后,我的参与程度逐渐提高。如果你是第一次加入,推荐的参与路径实际上是 "选择你的冒险!"
开放源代码安全基金会(OpenSSF)很荣幸地宣布,软件产品供应链等级(SLSA)的1.0版本已经发布。SLSA是OpenSSF的一个项目,为软件供应链安全提供规范,由社区专家共识建立。SLSA 1.0版本的稳定发布降低了改进的门槛,帮助你把精力集中在改进你的构建上,并减少了在整个供应链中被篡改的机会。
在管理软件供应链方面,SBOM的使用正变得越来越重要。主要的消费用例是通过将SBOM中列出的依赖关系映射到CVE,来评估依赖关系的已知漏洞风险。 在这篇博文中,我们建议将SBOMs与OpenSSF Scorecard一起使用,以评估产品的风险。