Die Open Source Security Foundation (OpenSSF), die sich die Absicherung von Open-Source-Software auf die Fahnen geschrieben hat, schafft mit der Security Review Initiative ein weiteres Instrument, um dieses Ziel zu erreichen.

Die Initiative soll einen nützlichen Satz von Sicherheitsbewertungen sammeln und kuratieren, die für Open-Source-Pakete durchgeführt wurden. Hintergrund dafür ist, dass Open-Source-Projekte öfter von Organisationen geprüft werden, ohne dass diese Prüfungen und deren Herangehensweise veröffentlicht werden, teilt die OpenSSF mit. Wenn es gelinge, diese Reviews zu sammeln und zugänglich zu machen, könnten sich mehr Einzelpersonen und Organisationen über den Zustand der von ihnen verwendeten Open-Source-Software informieren.

Weiter soll die Initiative Daten sammeln, die von den Reviews stammen, um damit Einblicke in die möglichen Risiken zu ermöglichen. Immerhin veröffentliche die Open-Source-Community täglich um die 2000 neue Softwarepakete, von denen viele die Grundlage moderner Technologie bilden. Sowohl Einzelpersonen als auch Organisationen seien die Sicherheitsrisiken bewusst, die mit einer solchen Lieferkette verbunden sind, lässt die Foundation wissen. Sicherheitsüberprüfungen, Quellcode-Audits und damit verbundene Arbeiten spielen eine entscheidende Rolle bei der Sicherung des Open-Source-Ökosystems, heißt es in der Ankündigung. Eine gezielte und gut geplante Überprüfung, die von einem erfahrenen Team durchgeführt wird, führe nachweislich zu signifikanten und dauerhaften Verbesserungen.

Die Foundation ruft nun alle Mitglieder auf, sich an der Initiative zu beteiligen. Eine entsprechende Seite auf Github dient als Anlaufstelle.