Η Socket πραγματοποιεί επένδυση 20 εκατομμυρίων δολαρίων για να βοηθήσει τις εταιρείες να εξασφαλίσουν λογισμικό ανοιχτού κώδικα

Πρίζα

μια startup που παρέχει ένα εργαλείο σάρωσης για τον εντοπισμό τρωτών σημείων ασφαλείας στον ανοιχτό κώδικα, ανακοίνωσε σήμερα ότι συγκέντρωσε 20 εκατομμύρια δολάρια σε έναν γύρο της Series A με επικεφαλής τον Andreessen Horowitz (a16z).

Η δόση είχε συμμετοχή από Abstract Ventures, Wndrco, Unusual Ventures και μια εντυπωσιακά υψηλού προφίλ λίστα επενδυτών αγγέλων, συμπεριλαμβανομένων των συνιδρυτών των Box (Aaron Levie), Figma (Dylan Field), Okta (Frederic Kerrest), Vercel (Guillermo). Rauch) και Eventbrite (Τζούλια και Κέβιν Χαρτς).

Ο Διευθύνων Σύμβουλος Feross Aboukhadijeh είπε ότι τα νέα μετρητά – μαζί με την προηγούμενη επένδυση αρχικής αξίας 4,6 εκατομμυρίων δολαρίων της Socket, η οποία ανεβάζει το συνολικό ποσό της εταιρείας σε 24,6 εκατομμύρια δολάρια – θα διατεθούν για την ανάπτυξη της ομάδας του Socket και την επέκταση της υποστήριξής του για περισσότερες γλώσσες προγραμματισμού και ενσωματώσεις.

«Την τελευταία δεκαετία, έγινε σαφές ότι το λογισμικό ανοιχτού κώδικα κέρδισε», είπε ο Aboukhadijeh στο TechCrunch σε μια συνέντευξη μέσω email. «Η ελεύθερη κοινή χρήση κώδικα έχει καταστήσει δραστικά φθηνότερη και ταχύτερη την κατασκευή λογισμικού — και ως αποτέλεσμα η τεχνολογική καινοτομία έχει επιταχυνθεί. Αλλά η ασφάλεια ήταν συχνά μια μεταγενέστερη σκέψη. Η νέα τεχνολογία εξαπλώνεται επειδή είναι χρήσιμη, όχι επειδή είναι ασφαλής. Οι εγκληματίες εκμεταλλεύονται την εμπιστοσύνη στο λογισμικό ανοιχτού κώδικα για να πραγματοποιήσουν θρασύδειλες επιθέσεις που διαδίδουν καταστροφικό κακόβουλο λογισμικό».

Είναι δύσκολο να διαφωνήσεις με αυτή την άποψη. Σύμφωνα με πρόσφατο Tidelift

επισκόπηση

, μόνο το 15% των οργανισμών είναι εξαιρετικά σίγουροι για τις πρακτικές διαχείρισης ανοιχτού κώδικα. (Σύμφωνο, το Tidelift είναι αντίπαλος του Socket και επομένως δεν είναι η πιο αντικειμενική πηγή.) Η πλειοψηφία, υπονοεί η έρευνα, έχει κάποιες ανησυχίες σχετικά με τη διατήρηση του λογισμικού ανοιχτού κώδικα ενημερωμένο, ασφαλές και καλά συντηρημένο.

Αυτές οι οργανώσεις έχουν λόγους να ανησυχούν. Εταιρεία ασφαλείας Synopsys

βρέθηκαν

στη μελέτη τάσεων του 2023 ότι το 89% των βάσεων κωδικών των εταιρειών περιείχαν ανοιχτό κώδικα που ήταν ξεπερασμένο για περισσότερα από τέσσερα χρόνια. Εν τω μεταξύ, το 91% χρησιμοποίησε στοιχεία ανοιχτού λογισμικού που δεν ήταν η πιο πρόσφατη διαθέσιμη έκδοση.

«Ο ρυθμός επιθέσεων στην αλυσίδα εφοδιασμού λογισμικού συνεχίζει να αυξάνεται με αστρονομικό ρυθμό», είπε ο Aboukhadijeh. «Σε συνδυασμό με αυστηρότερες ρυθμιστικές κυρώσεις για παραβιάσεις, τους υποχρεωτικούς κανόνες αναφοράς, καθώς και την έκρηξη στη χρήση ανοιχτού κώδικα εντός των οργανισμών, οι κίνδυνοι – και η επίγνωση αυτών των κινδύνων – δεν ήταν ποτέ μεγαλύτεροι».

Ο Aboukhadijeh — ένας παραγωγικός συντηρητής ανοιχτού κώδικα και ένας λέκτορας ασφάλειας ιστού στο Stanford — υποστηρίζει ότι το Socket είναι η λύση σε αυτά τα προβλήματα ασφάλειας λογισμικού ανοιχτού κώδικα. Αυτός είναι ακριβώς ο ισχυρισμός, λαμβάνοντας υπόψη την πληθώρα άλλων startups και κατεστημένων φορέων που ισχυρίζονται το ίδιο.

Η Oligo, μια εταιρεία που εστιάζει στην ασφάλεια και την παρατηρησιμότητα εφαρμογών χρόνου εκτέλεσης για τον εντοπισμό και την πρόληψη ευπαθειών ανοιχτού κώδικα, βγήκε από τη μυστικότητα τον Φεβρουάριο με την υποστήριξη 28 εκατομμυρίων δολαρίων σε επιχειρηματικό κεφάλαιο. Ο Endor βγήκε από το stealth με $25 εκατομμύρια τον περασμένο Οκτώβριο, μετά την αύξηση των $50 εκατομμυρίων της Chainguard στις αρχές Ιουνίου. Αλλού, υπάρχουν οι Stacklok, Arnica και Ox Security, που μαζί έχουν συγκεντρώσει πάνω από 50 εκατομμύρια δολάρια.

Η Google παρέχει επίσης μια υπηρεσία, το Assured Open Source Software, που έχει σχεδιαστεί για να βοηθά τους προγραμματιστές να αμύνονται από επιθέσεις ασφάλειας της εφοδιαστικής αλυσίδας σαρώνοντας και αναλύοντας τακτικά για ευπάθειες σε ορισμένες από τις πιο δημοφιλείς βιβλιοθήκες λογισμικού στον κόσμο.

Ο Aboukhadijeh λέει ότι αυτό που κάνει το Socket διαφορετικό είναι ότι δεν αναζητά απλώς λογισμικό που χρησιμοποιεί ένας πελάτης για να δει εάν τα τρωτά σημεία έχουν αναφερθεί σε δημόσιες βάσεις δεδομένων. Αντίθετα, πηγαίνει βαθύτερα, προσπαθώντας να μειώσει τον θόρυβο που μπορεί να εμφανιστεί κατά την ανάλυση χιλιάδων γραμμών κώδικα τρίτων.

«Σε αντίθεση με έναν παραδοσιακό σαρωτή ασφαλείας, το Socket μπορεί στην πραγματικότητα να ανιχνεύσει μια επίθεση ενεργού εφοδιαστικής αλυσίδας και να σας βοηθήσει να την αποκλείσετε», εξήγησε ο Aboukhadijeh. «Και σε αντίθεση με ένα παραδοσιακό εργαλείο στατικής ανάλυσης, το Socket παρέχει ενεργή ανατροφοδότηση σχετικά με τον κίνδυνο εξάρτησης αντί για εκατοντάδες ανούσιες ειδοποιήσεις».

Συγκεκριμένα, το Socket αναζητά κόκκινες σημαίες υψηλού επιπέδου σε λογισμικό, όπως κακόβουλο λογισμικό, τυπογραφικά λάθη (καταχώριση ονομάτων τομέα που συνήθως γράφονται με λάθος τρόπο για κακόβουλους σκοπούς), παραπλανητικά πακέτα και μη συντηρημένο κώδικα, εκτός από άγνωστους συντηρητές και υπερβολικά δικαιώματα. Η πλατφόρμα προσφέρει μια λειτουργία αναζήτησης που επιτρέπει στους χρήστες να βυθίζονται σε μια βάση κώδικα για να βρίσκουν και να παρακολουθούν αλλαγές στις εξαρτήσεις, καθώς και μια δωρεάν επέκταση για προγράμματα περιήγησης ιστού που προσπαθεί να προσδιορίσει εάν ένα πακέτο ανοιχτού κώδικα είναι ασφαλές και αξιόπιστο.

Στην τάση με τη βιασύνη για τη δημιουργία τεχνητής νοημοσύνης, το Socket εισήγαγε πρόσφατα μια σύνδεση στο ChatGPT, το chatbot του OpenAI με τεχνητή νοημοσύνη, που συνοψίζει πιθανά προβλήματα σε πακέτα λογισμικού, ιδιαίτερα «ασυνήθιστα» μοτίβα κώδικα.

«Το μεγαλύτερο μέρος του λογισμικού ασφαλείας πωλείται συνήθως σε στελέχη, επομένως είναι άβολο να το χρησιμοποιήσουν πραγματικά», είπε ο Aboukhadijeh. «Έχουμε υιοθετήσει μια διαφορετική προσέγγιση — δημιουργώντας ένα προϊόν που αγαπούν πραγματικά οι προγραμματιστές. Και για αυτόν τον λόγο, έχουμε δει ότι οι ομάδες ασφαλείας είναι πραγματικά ενθουσιασμένες που θα διαθέσουν το Socket στους προγραμματιστές τους, κάτι που δυστυχώς είναι αρκετά σπάνιο στον κλάδο».

Είναι όμως όλο τρελό; Μπήκα στον πειρασμό να το σκεφτώ, κυνικός δημοσιογράφος είμαι — αλλά ίσως όχι. Από την ίδρυσή της το 2020, η Socket με έδρα το Σαν Φρανσίσκο έχει προσελκύσει οικιακούς πελάτες, συμπεριλαμβανομένων των Brave, Figma και Vercel (σημειώστε ότι οι συνιδρυτές των δύο τελευταίων κατέληξαν να επενδύσουν στο Socket). Και αν η εταιρεία διατηρήσει την τρέχουσα τροχιά της, η Aboukhadijeh αναμένει ότι θα διπλασιαστεί σε μέγεθος, τουλάχιστον ως προς το εργατικό της δυναμικό, μέσα στους επόμενους μήνες. Η εστίαση είναι στην ανάπτυξη των ομάδων μηχανικής, ασφάλειας, λειτουργίας, πωλήσεων και μάρκετινγκ της Socket.

“Η ασφάλεια, περισσότερο από άλλες βιομηχανίες, ευδοκιμεί από στόμα σε στόμα”, πρόσθεσε ο Aboukhadijeh. “Είμαστε περήφανοι που λέμε ότι οι χρήστες μας αγαπούν το Socket και αυτό οδηγεί την ισχυρή μας ζήτηση.”