Autor: Root.cz s využitím Duck.ai

Projekt PHP vedle vydání oprav pro dvě kritické zranitelnosti popsal i změny, kterými chce do budoucna zlepšit zabezpečení jazyka. Nadace PHP přiznává, že oprava jedné z chyb se zdržela kvůli nedostatku lidí a složitému rozhodování. Bezpečnostní tým se snažil najít řešení, které neporuší zpětnou kompatibilitu, nezpůsobí další problémy a nebude vyžadovat rozsáhlé změny v doplňcích třetích stran. Proces založený na hledání konsenzu se však opakovaně zasekával.

Nadace plánuje celou řadu systémových opatření, která mají do budoucna umožnit řešit bezpečnostní problémy rychleji a efektivněji. Jednou z hlavních změn je posílení týmu, který se věnuje bezpečnosti PHP. V květnu vznikl Tým pro bezpečnost ekosystému, jenž pomáhá s tříděním oznámení, koordinací a vylepšováním kódu. Nadace také přijala další kolegy, kteří se věnují vyhodnocování hlášení, opravám a bezpečnostním vylepšením. Cílem je, aby bezpečnost nestála jen na malé skupině vývojářů, kteří mají řadu dalších povinností.

PHP zároveň rozšiřuje bezpečnostní audity a technické nástroje. Nadace zajistila externí audit a na kontrolách projektu se podílejí také další bezpečnostní firmy. Tým využívá automatizované nástroje včetně systémů založených na umělé inteligenci, ale také sestavení se sanitizéry a prostředí pro opakování chyb, která odpovídají platformám podporovaným v rámci CI. Automatizace má pomáhat s hledáním a ověřováním problémů. Rozhodnutí o hlášení i samotné opravě podle nadace nadále dělají lidé.

Změnit se má také způsob rozhodování o opravách. Bezpečnostní tým má v plánu opustit požadavek na jednomyslný konsenzus a chce umožnit rozhodnutí většinou, přičemž připouští i kompromisní řešení. Vedení nadace má být do složitých případů zapojeno dříve, aby se dlouho neřešily pouze uvnitř malého týmu. Zkušenost s chybou, jejíž oprava se kvůli technickým kompromisům opakovaně odkládala, má podle projektu vést k trvalejšímu a rychlejšímu postupu.

Nadace ale upozorňuje, že samotné nástroje nestačí. PHP používá rozsáhlá část webu, zatímco na jeho bezpečnosti stále pracuje poměrně malý počet placených vývojářů a dobrovolníků. Projekt proto žádá firmy, poskytovatele hostingu, cloudové platformy i veřejné instituce, které na PHP spoléhají, o dlouhodobou finanční podporu. Ta má pomoci vychovat více odborníků, kteří budou znát rozsáhlou kódovou základnu PHP a dokážou bezpečnostní problémy řešit dřív, než přerostou v naléhavou krizi.