Sovereign Tech Fund 宣布支持 Apache Log4j 的持续开发，Apache Log4j 是基于 Java 的软件应用程序架构的基石。
投资金额：596,160.00欧元
Log4j 项目
2021 年 12 月，Log4j 漏洞（称为 Log4Shell） 严重影响了全球数十亿个应用和服务（亚马逊、阿里巴巴、 Twitter、微软、Steam 等）。这一事件让大家想起了Log4j在世界IT基础设施中扮演的至关重要的角色。与其部署规模相比，Log4j 是一个免费开源软件项目，由少数志愿者开发和维护，他们为该项目做出了贡献他们的业余时间。
Log4j 项目由 Apache 软件基金会托管，该基金会提供治理、指导和技术基础设施支持。该基金会不向 Log4j 维护者或贡献者提供财务支持。
开源安全基金会 (OpenSSF) 与 Google 和 Microsoft 合作宣布了Alpha-Omega 项目 并将 Log4j 列为其中之一前 100 个关键开源软件项目。
- 美国网络安全和基础设施安全局 (CISA)，
- 美国联邦调查局（FBI），
- 美国国家安全局（NSA），
- 澳大利亚网络安全中心（ACSC），
- 加拿大网络安全中心（CCCS），
- 新西兰计算机应急响应小组 (CERT NZ)，
- 新西兰国家网络安全中心（NZ NCSC），
- 和英国国家网络安全中心 (NCSC-UK)
在 STF 投资之前，核心维护者在这个关键的自由和开源软件项目上的工作尚未获得大量的财务支持。
目前三位准备专注于这个开源项目的维护者（两位为此辞去全职职位）是 Christian Grobmeier、Piotr Karwasz 和 Volkan Yazıcı，他们都是 Apache 日志服务团队和项目管理委员会 (PMC) 的成员，管理 Log4j 项目的小组。
STF的工作
主权技术基金委托STF的工作旨在改进发布管道、文档、源代码存储库结构、效率，以及引入模糊测试和性能测试台。
除了功能改进之外，这些都具有安全和漏洞相关影响：改进的发布管道可以快速发布安全漏洞，模糊测试可实现早期漏洞检测，软件物料清单 (SBOM) 可实现更好的依赖性跟踪。
- 基础设施增强：
- 增强基于持续集成的发布管道，在紧急情况下实现更快的发布和更快的反应时间
- 加快并简化发布过程
- 升级核心依赖，提高安全性和稳定性
- 设置代码格式化和静态分析工具以提高代码质量
- 实施 SBOM，以提高安全性并改进对用户安全事件的监控
- 代码质量和文档：
- 实施统一的内存管理，以提高代码库的性能和简化性
- 从源代码生成配置文档和架构，以使用户始终了解最新更改
- 实施在线配置验证工具，因此即使不太高级的用户也可以使用配置
- 改进文档，以便更好地访问 Log4j 功能
- 兼容性和测试：
- 引入 API 兼容性检查
- 研究并实现源代码和字节码迁移工具
- 实施模糊测试
- 使测试套件现代化并稳定化，以实现更快、更全面的测试
- 改进原生编译支持
STF投资以后
Christian Grobmeier，Log4j 维护者兼 Apache 日志记录项目管理委员会成员：
“当资金到达我的账户时我才相信这是真的。有了这笔资金，我们终于能够给予 Log4j 更多关注，确保所有依赖我们的人都安全。”
Log4j 团队已经工作了几个月，第一个里程碑已经对 Log4j 的长期生存能力产生了影响。
- 该团队已开始实施发布管道：基础设施，以自动、更快、更可靠地发布软件。
- 他们已经开始对代码库和依赖项进行现代化改造，因此一切都得到正确维护并保持最新。
- 最后，他们启用了“软件物料清单”（SBOM）和“漏洞披露报告”（VDR）。
两者都是更好地了解软件供应链的新标准，帮助企业和用户了解他们是否受到已发布的安全漏洞的影响。在 Apache 软件基金会，Log4j（日志记录）团队现在是最先实现这种规模的团队之一，允许其他人进行复制。
Sovereign Tech Fund 委托这支由三名开发人员组成的专门团队从 2023 年 9 月到 2024 年底开展一个改进 Log4j 的综合项目。该项目涉及 30 个里程碑，包括结构增强、安全计划、维护和文档。 PMC 的其他成员认为这些里程碑和可交付成果可以解决常见的痛点。该团队期望 PMC 就以发布形式交付这些功能达成共识。
主权技术基金对这一重要项目的承诺总额为 596,160 欧元，反映了我们致力于增强 Log4j 的安全性、可靠性和长期可持续性。主权技术基金由德国联邦经济事务和气候行动部 (BMWK) 资助。