Linux基金会成立开源安全基金会，微软、Google加入

Linux基金会昨（3）日宣布成立开源安全基金会（OpenSSF），集结跨业界厂商，包括微软、IBM、Google、GitHub等，以强化开源码软件安全性。

OpenSSF集结了业界主要开源安全倡议及背后的组织，包括Linux基金会因应2014年Heartbleed漏洞，而成立的核心基础架构倡议（Core Infrastructure Initiative）， GitHub开源安全联盟（Open Source Security Coalition, CII），以及业界厂商。创会治理委员会成员包括GitHub、Google、IBM、RedHat、微软、摩根大通、OWASP（Open Web Application Security Project）基金会等，其他创会成员还包括VMWare、英特尔、抓虫赏金平台HackOne、GitLab等。

Linux基金会指出，开源软件已普遍用于资料中心、消费装置及服务上。基于其开发流程，开源软件来到终端用户之前，有一个参与者及相依性组成的链接，提供用户或企业安全的人，必须要能了解及验证这些相依性链接的安全性。

Linux 基金会主任Jim Zemlin指出，确保开源软件安全是最重要任务，需要所有人的合作，而OpenSSF将提供真正跨产业协同的论坛。

组织方面，OpenSSF包含治理委员会、技术顾问委员会、以及不同工作小组和专案的主管单位。OpenSSF计划代管多个和安全相关的开源技术专案，所有专案及资源都会置于GitHub上对外开放。

微软表示该公司多年来已投入多项开源安全计划，加入OpenSSF后，已经积极展开辨识开源专案安全威胁、提供安全工具、安全最佳实作及揭露漏洞四大领域工作。

Google则表示，他们目前的重点领域包括共享安全实作自动化的schema及metadata、提供相依性管理及风险评估的工具、开源软件安全供应链工具如Tekton专案、回应开源专案漏洞，以及开发商身份管理系统等。