Con gennaio 2019 prende il via l'iniziativa
FOSSA Bug Bounties, attraverso cui la Commissione Europea vuole incrementare l'affidabilità di alcuni software open source, per la precisione quindici. Si tratta di applicazioni e altri moduli software
usati frequentemente nelle infrastrutture IT di vari organismi UE tra cui il Parlamento, il Consiglio e la Commissione stessa.
FOSSA Bug Bounties si muove nell'ambito del progetto
Free and Open Source Software Audit (FOSSA, appunto). Questo è nato qualche anno fa sempre per garantire una maggiore sicurezza nell'utilizzo del software libero, in particolare
dopo il "caso" OpenSSL.
Nel triennio 2015-2017, FOSSA ha provveduto a
catalogare tutti i software open source usati dalla Commissione Europea e ha analizzato le procedure seguite dagli sviluppatori per la gestione della sicurezza nelle fasi di sviluppo software. Inoltre ha definito
security audit specifici per il web server Apache e per il gestore di password KeePass.
Il progetto FOSSA è stato poi esteso per un altro triennio, fino al 2020. In questa seconda fase sono previste varie attività accessorie a quelle già svolte, tra cui alcuni
hackathon in cui gli sviluppatori delle istituzioni UE e i rappresentanti dei principali progetti open source affronteranno insieme gli aspetti di sicurezza di tali progetti.
FOSSA Bug Bounties è una componente di questa seconda fase del progetto Free and Open Source Software Audit. La Commissione ha messo
quindici "taglie" sui bug software di altrettanti progetti open source: variano tra 25 mila e 90 mila euro, a seconda dell'importanza del software per la UE e della criticità dei problemi rilevati.
I quindici software coinvolti vanno dalle
utility (Filezilla, Notepad++, PuTTY, VLC Media Player, KeePass, 7-zip) alle
piattaforme web (Drupal, Apache Tomcat, Symfony), dai componenti
infrastrutturali (Apache Kafka, FLUX TL, WSO2, midPoint) alle
librerie (Digital Signature Services, glibc). Chi vuole andare a caccia di bug per questi software deve mettersi subito al lavoro: le taglie saranno attive tra metà e fine gennaio. Solo midPoint sarà sotto esame a partire da marzo.