Commonhaus Foundation запустил программу по созданию устойчивой системы управления критически важными open source проектами. Инициатива стартовала после инцидента с XZ Utils — библиотекой сжатия, в которую злоумышленник внедрил бэкдор и чуть не получил контроль над миллионами Linux-серверов.
В марте 2024 года исследователи обнаружили, что мейнтейнер XZ Utils «Джиа Тан» годами завоёвывал доверие сообщества, чтобы встроить вредоносный код в библиотеку. XZ Utils используется практически во всех дистрибутивах Linux — компрометация могла затронуть серверы Amazon, Google и банков по всему миру.
Что предлагает Commonhaus
Фонд создаёт модель «коллективного владения» проектами вместо зависимости от одного мейнтейнера. Ключевые принципы:
Прозрачное управление: все решения о коде принимает комитет из нескольких участников со track record. Один человек не может единолично менять критический код.
Финансовая поддержка: фонд обеспечивает стабильное финансирование команд, чтобы разработчики не выгорали и не бросали проекты.
Аудит безопасности: регулярные проверки кода третьей стороной, особенно для библиотек уровня системных вызовов.
Почему это критично для разработчиков
Инцидент XZ Utils показал хрупкость экосистемы open source. Миллионы приложений зависят от библиотек, которые поддерживает один человек в свободное время. Burnout, потеря интереса или злой умысел — и критическая инфраструктура под угрозой.
В России ситуация особенно остра после санкций — многие западные мейнтейнеры заблокировали доступ российским разработчикам к репозиториям. Локальные форки и независимое управление критическими проектами становятся вопросом технологической безопасности.
Commonhaus предлагает альтернативу: структурированное управление с разделением ответственности, где ни один участник не может скомпрометировать проект единолично.
Что дальше: фонд планирует привлечь под управление 50+ критических библиотек к концу 2024 года, включая проекты уровня системной инфраструктуры.
The post Commonhaus Foundation запускает проект защиты open source после атаки на XZ Utils appeared first on itech-news.