Компания Google расширила действие инициативы по повышению безопасности свободного ПО19.11.2013 13:17

Компания Google анонсировала расширение числа проектов, на которые распространяется программа выплаты вознаграждений за выполнение работ по повышению безопасности популярного сетевого и системного свободного ПО. Напомним, что уже более месяца Google выплачивает вознаграждение не только за выявление факта наличия уязвимостей, но и за создание улучшений, препятствующих возникновению проблем с безопасностью и упреждающих появление потенциальных уязвимостей. В дополнение к ранее поддерживаемым программой проектам OpenSSH, BIND, ISC DHCP, libjpeg, libjpeg-turbo, libpng, giflib, OpenSSL, zlib, Chromium, Blink и компонентам ядра Linux, обновлённый список включает:

Открытые компоненты платформы Android: AOSP (Android Open Source Project); HTTP-серверы Apache httpd, lighttpd и nginx; Почтовые серверы Sendmail, Postfix, Exim, Dovecot; Программа для туннелирования трафика OpenVPN; Сервер синхронизации точного времени NTPD; Библиотеки Mozilla NSS и libxml2; Инструментарий разработчика: GCC, LLVM и binutils. Размер вознаграждения составляет от $500 до $3,133.70 в зависимости от сложности, качества и важности предложенных изменений. Не исключается повышение размера вознаграждения для особо важных и сложных случаев, а также выделение отдельного вознаграждения основным разработчикам проекта, если для внедрения изменений с их стороны будет проведена значительная работа. В качестве примеров работ, подпадающих под действие инициативы, упоминается внедрение более безопасных механизмов распределения памяти, реализация разделения привилегий, чистка кода от небезопасных функций, использование рандомизации выделяемых областей памяти и т.п. Решение о выплате премии принимается на основе уже принятых в upstream изменений, т.е. патчи следует первым делом направлять в основные проекты и после их принятия направлять заявку на получение премии с указанием ссылок на проведённую работу.

Одновременно можно отметить инициативу Facebook по выплате вознаграждения за исправление ошибок в реализации компилятора языка D. Для начала, Facebook готов выплатить по 80 долларов за исправление одной из трёх ошибок (1, 2, 3). В дальнейшем планируется расширить действие программы и пересмотреть размер оплаты, выбирая сумму в зависимости от сложности и важности устранённых ошибок.