У Алексея Лукацкого сегодня был интересный пост про "H.R.7900 — Nation­al Defense Autho­riza­tion Act for Fis­cal Year 2023". Длиннющий документ. Местами видимо интересный. Если в PDF выгружать, то там 3854 страницы. Слово "Rus­sia" там встречается 281 раз. Солидно. 🙂 "Chi­na" только 130 раз.

Алексей Викторович обратил внимание, что теперь согласно "SEC. 6722. DHS SOFTWARE SUPPLY CHAIN RISK MANAGEMENT." контракторам Depart­ment of Home­land Secu­ri­ty (DHS) придется собирать зависимости их продуктов в "bill of mate­ri­als" и доказывать сертификатом, что ни в одной из зависимостей нет ни одной уязвимости из NVD. Не то, что там критичных уязвимостей нет, а вообще никаких CVE нет!

Практика занимательная. Учитывая с какой скоростью выходят новые уязвимости это получается, что по-хорошему нужно будет постоянно пересобирать продукт и тестить, что ничего не разъехалось, чтобы к моменту сертификации быть максимально свеженькиими и неуязвимыми. Сомневаюсь, что кто-то реально сможет честно пройти такую сертификацию буквально так, как это написано. Но если да, было бы интересно посмотреть на этих монстров разработки, тестирования и автоматизации. 🙂 Хотя по сути так было бы правильно.

Ну и там вроде не конкретизировано кто и как именно должен процедуру сертификации проводить, так что могут быть нюансы. 😏

Но меня больше зацепило, что там речь идет не только об NVD, но и

"(B) any data­base des­ig­nat­ed by the Under Sec­re­tary, in coor­di­na­tion with the Direc­tor of the Cyber­se­cu­ri­ty and Infra­struc­ture Secu­ri­ty Agency, that tracks secu­ri­ty vul­ner­a­bil­i­ties and defects in open source or third-par­ty devel­oped soft­ware."

Это что такое? Это просто вставочка на будущее, типа вдруг когда-нибудь сделают ещё какую-нибудь базу? Или есть какая-то ещё база уязвимостей Open Source софта разработанная DHS и CISA, которая не в паблике? Загадочно. 🙂

PS: Надо бы тамошним законодателям рассказать, что у каждого item в "bill of mate­ri­als" могут быть свои зависимости, и в этих зависимостях могут быть (и есть) уязвимости, а для самого item‑а в NVD об этом никакой информации не будет. Как не было отдельной CVE под каждый софт уязвимый Log4Shell. Даешь "bill of mate­ri­als" для каждого item‑а и тотальный разбор этой адской матрешки! Муа-ха-ха! 😈