Secondo la pubblicazione Kommersant, il Servizio federale per il controllo tecnico e delle esportazioni (FSTEC) ha pubblicato due gare d'appalto sul portale degli appalti pubblici: per la creazione di un ambiente unificato per lo sviluppo sicuro di software domestico per 510 milioni di rubli e la creazione di infrastrutture per uno studio sistematico sulla sicurezza dei componenti critici che costituiscono la base dei kit di distribuzione russi di OS e altri programmi per 360 milioni di rubli.

Questi progetti, dopo la loro creazione e attuazione alla fine del 2024, dovranno essere utilizzati dagli sviluppatori russi durante la creazione di software per le infrastrutture critiche dell'informazione (strutture statali, settore finanziario, settore dell'energia e del petrolio e del gas, trasporti).

Gli esperti della pubblicazione hanno spiegato che ora non esiste un unico ambiente domestico affidabile per lo sviluppo del software. Questo è ciò che FSTEC vuole creare per controllare inizialmente le azioni degli sviluppatori e bloccare qualsiasi tentativo di lasciare accidentalmente o intenzionalmente segnalibri (backdoor) o vulnerabilità nei programmi. Ciò aumenterà il livello di sicurezza del software domestico, ma limiterà le capacità degli sviluppatori di terze parti che in precedenza hanno creato e testato i propri prodotti attraverso i propri sistemi di debugging, test e verifica.

Il Ministero dello sviluppo digitale ha spiegato alle pubblicazioni che in Russia diverse aziende hanno ambienti di sviluppo affidabili che non consentono l'accesso ad altri sviluppatori. Secondo il dipartimento, la creazione di un ambiente unificato per lo sviluppo sicuro consentirà a tutti gli sviluppatori di terze parti di utilizzarlo senza restrizioni.

Il Ministero dello sviluppo digitale ha chiarito che l'uso di un tale ambiente affidabile ridurrà il numero di vulnerabilità nel codice sorgente, il che influenzerà il livello di sicurezza generale dei prodotti software domestici e dei sistemi informativi. Sarà anche più facile per gli sviluppatori che utilizzano questo ambiente ottenere una conclusione positiva durante l'esame dei loro nuovi programmi da parte di FSTEC.

Gli esperti di mercato hanno spiegato alla pubblicazione che non sarà un ambiente affidabile a tutti gli effetti per lo sviluppo del software, ma la sua versione pilota. Secondo loro, per finalizzare e creare un'infrastruttura a tutti gli effetti, è necessario spendere un ordine di grandezza in più di denaro e risorse da diversi artisti che avranno bisogno di più tempo per svilupparsi.

Secondo il TOR del progetto per un ambiente affidabile, entro dicembre 2024 l'appaltatore deve creare un ambiente unificato per lo sviluppo di software domestico sicuro, che garantirà la soluzione dei seguenti compiti:

introduzione di tecnologie integrate per lo sviluppo di software sicuro nelle organizzazioni di sviluppo software nazionali;

fornitura agli sviluppatori nazionali di un insieme unificato di strumenti per lo sviluppo di software sicuro, compresi strumenti di sviluppo integrati, integrazione continua e strumenti di rilascio, compilatori sicuri, strumenti di sviluppo multipiattaforma, strumenti di sviluppo ed esecuzione di unit test, strumenti di analisi statica, strumenti di test fuzzing, compresi strumenti per determinare la superficie di attacco, strumenti per rilevare perdite di informazioni nella memoria basati su un'analisi dinamica dell'intero sistema dei dati contrassegnati;

fornire supporto metodologico e tecnico alle organizzazioni russe nell'implementazione e nel mantenimento del ciclo di vita del software sicuro;

un insieme di strumenti per garantire lo sviluppo di software sicuro deve supportare C, C++, Java;

una serie di strumenti per garantire lo sviluppo di software sicuro dovrebbe supportare lo sviluppo di programmi per l'architettura di base di computer desktop e server x86-64 e l'architettura di base dei dispositivi mobili ARMv8, nonché architetture di processori avanzate che garantiscono l'indipendenza tecnologica: RISC -V, Baikal, Elbrus.

Secondo il TOR del progetto per l'infrastruttura per il test delle distribuzioni di sistemi operativi domestici, l'appaltatore deve creare elementi tecnici, metodologici e organizzativi dell'infrastruttura per la ricerca del software per garantire la soluzione dei seguenti compiti:

testare componenti open source critici utilizzati per le distribuzioni russe di sistemi operativi e altri software, inclusa l'analisi dell'architettura, l'analisi statica del codice sorgente, il test fuzzing, il test di sistema e di unità e l'analisi dinamica dell'intero sistema dei dati contrassegnati;

sviluppo di correzioni che eliminino le vulnerabilità nei componenti critici utilizzati nello sviluppo di distribuzioni russe di sistemi operativi e altro software e portando queste correzioni agli sviluppatori di software;

formazione di repository domestici di componenti critici con proprie filiali per tali componenti, comprese le correzioni sviluppate, e garantire il supporto di sicurezza di tali filiali sincronizzandosi costantemente con le principali versioni internazionali di tali componenti;formazione della competenza di specialisti nelle questioni della ricerca sulla sicurezza dei componenti critici utilizzati come base per le distribuzioni russe di sistemi operativi e altri software;

sviluppo di raccomandazioni per l'attuazione di misure per lo sviluppo sicuro di strumenti software domestici utilizzando componenti open source critici;

organizzazione dell'interazione tra sviluppatori di software domestici su questioni relative alla garanzia di uno sviluppo sicuro utilizzando i propri rami sicuri di componenti critici con codice open source;

riempimento del database delle minacce alla sicurezza delle informazioni dell'FSTEC della Russia con informazioni sulle vulnerabilità dei componenti critici utilizzati per le distribuzioni russe di sistemi operativi e altro software.

All'inizio di febbraio, i media hanno riferito che il Ministero della Trasformazione Digitale avrebbe iniziato un esperimento a maggio di quest'anno per creare un analogo russo di Github. Verranno presentati prodotti software con licenza aperta, creati su fondi di bilancio, ad esempio codici sorgente e programmi creati per il Ministero dello sviluppo digitale, il Ministero degli affari interni, Rosreestr, il Fondo pensione e altre agenzie governative. Gli sviluppatori e le aziende russe potranno pubblicare i loro programmi lì su base volontaria.L'accesso al repository nazionale sarà disponibile per tutte le persone fisiche e giuridiche "senza restrizioni per motivi nazionali, territoriali e di altro tipo".

bbabo.Net