OpenSSF基金会扛起修补Log4j漏洞重担，推动修补大量软件漏洞的计划

2020年由Linux基金会成立的开源软件安全基金会（Open Software Security Foundation，OpenSSF）本周宣布名为Alpha-Omega的计划，将协助寻找并修补1万项开源软件的漏洞。

基本上，OpenSSF是以强化开源软件安全为宗旨的组织，获得业界大厂，包括微软、Google、IBM、英特尔等支持。他们推出的最新计划Alpha-Omega，是在Log4j漏洞公布后，白宫召集美国软件及安全界人士共商对策后的结果，其中将通过和软件项目负责单位，运用自动安全测试工具来促进开源软件供应链的安全性，而在第一阶段期间，微软和Google也将投入500万美元支持这项计划。

开源软件安全基金会总经理Brian Behlendorf指出，开源是现代 会关键基础架构的关键元素，因此必须尽可能确保软件供应链安全，而Alpha-Omega计划的推动，可通过发现、修补及预防漏洞，直接改善开源项目的安全性。

同时，这项计划通过开源软件项目维护单位，找出程序代码中未发现过的新漏洞，并进行修补。

至于Omega项目，将运用自动化方法和工具，找出至少1万项常用开源项目的重大安全漏洞，其中将结合多种方式，包含：利用云计算规模的分析“技术”、负责分类的安全分析“人员”，以及向正确OSS项目人士秘密通 重大漏洞的“流程”。Omega也会有个安全工程师组成的专门团队，持续调校分析流程，以减少误判率及找出新漏洞。