转载

基础架构联盟：自由软件最佳实践

　　Linux 基金会的 CII（基础架构联盟）继 Census 项目后，最近发布了自由开源软件最佳实践标准的 v0.8 版本，这个项目的发起人 David A. Wheeler 详细的介绍了目前的状况，这份<自由开源软件最佳实践标准>从自由软件开发，测试，分发的过程中的问题给与了建议。

　　基础部分包括自由软件项目网站应该注意自由软件许可证的使用以及必须使用 TLS 的 HTTPS 用于保护分发过程中的安全；修改控制部分包括了自由软件项目必须提供公开可读的代码仓库，而关于漏洞处理也必须有公开的流程；质量部分谈到自动化测试的必要性；安全部分谈到了一个自由软件项目必须有一名懂如何设计安全的软件的设计人员以及一位有安全背景的开发人员，如果使用密码工程必须使用久经考验的公开算法；分析部分谈到静态分析（扫描+代码审计）和动态分析（Fuzzing）。

　　btw：目前 CII 的挂名的中国厂商只有华为，这里 HardenedLinux 社区呼吁更多的中国厂商的参与，共建自由软件生态。

正文到此结束