5 月 17 日，谷歌推出了一项新计划，该计划向谷歌云用户策划并提供经过安全审查的开源包选项，以保护开源软件供应链。该公司在一篇 博文 中宣布了这项名为 “ 安心开源软件 Assured Open Source Software ” 的新服务。在博文中，谷歌云安全和隐私部门产品经理 Andy Chang 强调了保障开源软件的一些问题，并强调了谷歌对开源的承诺。

“开发者社区、企业及政府对软件供应链风险的意识越来越强，”Chang 写道，并以去年的 log4j 重大漏洞为例。“谷歌仍是开源代码最大的维护者、贡献者和使用者之一，并深入参与了帮助开源软件生态系统更加安全的工作。”

据谷歌称，“安心开源软件”服务将让云客户能够访问谷歌的大量软件审计知识。另据其称，所有通过该服务提供的开源软件包也在公司内部使用，该公司会定期检查和分析其漏洞。

谷歌目前正在审核的 550 个重要开源库的清单可以在 GitHub 上找到。虽然这些库都可以独立于谷歌下载，但该计划将呈现通过谷歌云提供的审核版本，防止开发者破坏广泛使用的开放源码库。这项服务现在处于预先体验阶段，将在 2022 年第三季度准备好进行更广泛的消费者测试。

谷歌的声明只是广大行业努力加强开源软件供应链的安全的一部分，这份努力得到了拜登政府的支持。今年 1 月，美国国土安全部和美国网络安全与基础设施安全局的代表与美国一些主要 IT 公司的高管会面，研究 log4j 漏洞之后的开源软件安全问题。此后，有关公司在最近的一次峰会上承诺提供超过 3000 万美元的资金，以改善开源软件的安全问题。

除了现金，谷歌还在投入工程时间来确保供应链的安全。该公司已宣布发展一个“ 开源维护小组 Open Source Maintenance Crew ”，该团队将与库维护人员合作以提高安全性。

via: https://www.opensourceforu.com/2022/05/google-to-start-distributing-a-collection-of-open-source-software-libraries/

作者：Laveesh Kocher 选题：lkxed 译者：beamrolling 校对：wxy

本文由 LCTT 原创编译，Linux中国 荣誉推出

Memray 是一个由彭博社开发的 内存剖析器 memory profiler ，现在已经开源。它可以跟踪 Python 代码中的内存分配，包括本地扩展和 Python 解释器本身。内存剖析是了解程序如何利用内存的有力工具，因此可以检测内存泄漏或确定程序中哪些区域消耗的内存最多。

与 py-spy 等抽样内存剖析器相比，Memray 可以跟踪每个函数调用，包括对 C/C++ 库的调用，并详细显示调用栈。彭博社称，这并不以牺牲性能为代价，剖析只使解释代码的速度变慢一点。然而，原生代码剖析的速度较慢，因此需要直接启用。

Memray 可以根据获得的内存消耗数据生成各种报告，包括火焰图，这对快速、准确地识别最常见的代码路径很有价值。

据 EgdeDB 的联合创始人兼 CEO Yury Selivanov 称，该工具提供了以前无法获得的对 Python 应用的洞察力。Memray 可以用来从命令行中执行和剖析 Python 应用。

$ python3 -m memray run -o output.bin my_script.py
$ python3 -m memray flamegraph output.bin

另外，你可以使用 pytest-memray 将 Memray 集成到你的测试套件中。你也可以用 -native 命令行选项对所有的 C/C++ 调用进行剖析，或者用 -live 命令行选项在程序执行过程中实时分析内存分配。Memray 可以在 Linux x86/64 系统上用 python3 -m pip install memray 来安装。

（题图由 Frantisek Krejci 在 Pixabay 上发布 ）

via: https://www.opensourceforu.com/2022/04/bloomberg-open-sources-memray-a-python-memory-profiler/

作者：Laveesh Kocher 选题：lkxed 译者：geekpi 校对：wxy

本文由 LCTT 原创编译，Linux中国 荣誉推出

开源安全基金会（OpenSSF）发布了一个新工具的测试版，它可以对发布到著名开源仓库的所有软件包进行动态分析。软件包分析项目试图通过识别任何恶意行为并警告用户来保护开源软件包，目的是增强对开源软件的信任并加强软件供应链的安全性。

OpenSSF 说：“软件包分析项目旨在了解开源仓库上可用软件包的行为和功能：它们访问哪些文件，它们连接到哪些地址，以及它们运行哪些命令？”

该基金会的 Caleb Brown 和 David A. Wheeler 补充说：“该项目还跟踪软件包随时间的行为变化，以确定以前安全的软件何时开始出现可疑行为。”

该程序在为期一个月的测试运行中发现了 200 多个发布到 PyPI 和 NPM 的恶意软件包，其中大多数流氓库依赖于依赖混淆和仿冒攻击。谷歌是 OpenSSF 的成员，它支持软件包分析计划，强调“在发布软件包之前审查软件包以确保用户安全”的重要性。

去年，该公司的开源安全团队提出了软件工件的供应链级别（SLSA）架构，以验证软件包的完整性并防止未经授权的更改。这一发展是在开源生态系统越来越多地被武器化，用加密货币矿工和数据窃贼等恶意软件攻击开发者的情况下进行的。

via: https://www.opensourceforu.com/2022/05/package-analysis-examines-packages-in-open-source-repositories-in-real-time/

作者：Laveesh Kocher 选题：lkxed 译者：geekpi 校对：wxy

本文由 LCTT 原创编译，Linux中国 荣誉推出

Appwrite 是一个为 Web、移动和 flutter 开发者提供的开源“ 后端即服务 Backend-as-a-Service ”（BaaS）平台。今天，它宣布成立 开源软件基金 Open Source Software Fund （OSS 基金），第一年该基金将向那些为当下数字基础设施奠定基础，却没有得到补偿的开源维护者，提供 5 万美元的资助。

Appwrite 每年的开源基金将用于协助开源开发者、促进技术革新，并为各种开源开发方案打造知名度。每年，它都会对基金数额进行审查，以确保其继续满足社区的需求。目前已经开始接受申请，并且每年都会接受申请。受资助者将由 Appwrite 开发者关系团队选出。了解更多：https://appwrite.io/oss-fund。

创始人兼 CEO Eldad Fux 说：“我懂这种感受，你在电脑前花费大量时间，把血汗和泪水投入到热爱的事物中，而且这些事物还在使全世界成千上万甚至数百万人受益。我一直就有这个想法：借用 Appwrite 的一些成功经验和投资，来支持其他像我一样的开发者和维护者，以回馈的方式来展望未来。希望我们的贡献能够带来改变。”

在今天的技术环境中，最紧迫的挑战之一就是开源开发者和维护者的长期生存能力。尽管开源软件占比已经达到 70% 到 90%，是当下数字文明的基础，但许多最重要项目的开发者和维护者仍然没有获得足够报酬，或者根本没有报酬。关于如何帮助这些人，业界已经有了许多讨论，并提出了一系列的解决方案。Appwrite 正在为维护者做一些事，提升他们的工作，并提供经济支持，以换取他们对行业和数字社会的贡献。

Eldad Fux 自身通过为开源软件项目做贡献和参与开源社区，开始了他的开发者生涯。Appwrite 最初是一个副业项目，他把它作为一个 BaaS 产品从头打造。目前，Fux 通过专注于完全开源的平台和以各种方式回馈社区来支持开源理念，其中就包括了 Appwrite OSS 基金。

EddieHub 的创始人和开发者 Eddie Jaoude 说：“开源为世界上大部分的现代基础设施提供动力，从移动到网络、汽车甚至是地球以外的任务。只有靠社区的慷慨解囊，他们的时间和努力才能持续。如果有更多的公司和组织的支持，这种情况将得到改善，避免社区成员因报酬不足/没有报酬而懈怠。”

via: https://www.opensourceforu.com/2022/05/open-source-developer-creates-first-of-its-kind-fund-to-support-maintainers/

作者：Laveesh Kocher 选题：lkxed 译者：lkxed 校对：wxy

本文由 LCTT 原创编译，Linux中国 荣誉推出

Inspector 是一个可视化的交互式数据探索软件，能够对海量数据进行分析并提取相关信息，可用于预测性维修、网络安全、控制、机器学习算法分析等。

通过让更多的人使用 Inspector 软件，让他们能够合作开发可靠灵活的方案，以解决社区的技术问题和特殊需求，ESI 集团增加了对工业界和学术界的贡献。

作为 ESI 集团和 ENSAM 之间持续赞助合作和共创伙伴关系的一部分，将由 ENSAM（ 巴黎高科国立高等工程技术大学 Ecole Nationale Supérieure d’Arts et Métiers ）领导 Inspector 的增长和扩展。通过共同参与建设由新加坡国家科学研究中（CNRS）协调的 Descartes 计划、CREATE-ID 国际研究讲座以及 ESI – ENSAM 虚拟工程实验室，双方加强了合作。

这种开源方式有许多好处。首先，社区能够以最有效的方式使用该软件，科学界能够从根据用户需求定制的新功能以及安全方面的改进中受益。其次，ESI 集团希望提供一个从软件中获利机会，包括汽车及航空在内的各种行业的客户已经证明了这一软件的可靠性。由于许多利益相关者的参与，Inspector 将持续发展以应对社区需求。

ESI 集团打算将其数据分析软件开源发布，得到了一些行业领导者和 Inspector 用户的兴趣和支持，例如 CNS 就是其中一例。

CNS 的总经理 Stephane Perrin 表示：“ESI 集团这一决定证明了集团的先进技术对创新和科学生态系统的贡献。CNS 作为一家网络与安全的专业公司，我们用行动支持 Inspector 的未来。除了将 Inspector 集成到我们的持续网络审计软件套件中外，不久后我们还将通过我们创新解决方案的业务部门为该软件提供支持。”

via: https://www.opensourceforu.com/2022/05/esi-group-collaborates-with-ensam-open-sources-its-inspector-software/

作者：Laveesh Kocher 选题：lkxed 译者：Veryzzj 校对：wxy

本文由 LCTT 原创编译，Linux中国 荣誉推出

随着图形处理器在计算机里变得越来越常见，英伟达正在扩大与标准和开源社区的合作，以便于包括先前仅限于该公司开发工具的下游技术。虽然人们在 C++ 和 Fortran 等语言上投入了大量精力，但这些语言被认为在高度并行的计算机上执行代码落后于原生实现的编程语言。

英伟达结合了开放和专有库的 CUDA 并行编程框架影响了许多正在开放和主流化的技术。在 2007 年，CUDA 作为一个为程序员开发基于 GPU 的系统的一系列编程工具和框架而推出。然而，随着 GPU 利用率在更多应用程序和领域中的增长，CUDA 理念发生了转变。

英伟达因其在 GPU 上的主导地位而广为人知，但 CUDA 是这家以 1 万亿市值为目标的软件和服务供应商重塑品牌的核心。英伟达的长期目标是成为一个全栈提供商，专注于自动驾驶、量子计算、医疗保健、机器人、网络安全和量子计算等特定领域。

英伟达已经在特定领域创建了专用的 CUDA 库，以及企业可以使用的硬件和服务。其 CEO 黄仁勋在最近的 GPU 技术大会上宣布的 “AI 工厂” 概念，最能体现全栈战略。客户可以将应用程序放入英伟达的大型数据中心，从而获得针对特定行业或应用程序需求量身定制的定制 AI 模型。

英伟达可以通过两种方式从 AI 工厂原则中受益：利用 GPU 容量或利用特定领域的 CUDA 库。在英伟达 GPU 上，程序员可以使用 OpenCL 等开源并行编程框架。另一方面，CUDA 将为那些愿意投资的人提供额外的最后一英里增长，因为其已调整为与英伟达的 GPU 密切运作。

虽然并行编程在高性能计算中很常见常见，但英伟达的目标是让其成为主流计算的标准。该公司正在协助实现一流工具的标准化，无论品牌、加速器类型或并行编程框架是什么，都可以编写可跨硬件平台移植的并行代码。

一方面，英伟达是 C++ 小组的成员，该小组正在为跨硬件同时执行可移植代码奠定基础。上下文可以是主要执行 IO 的 CPU 线程，也可以是执行高要求计算的 CPU 或 GPU 线程。英伟达特别致力于为 C++ 程序员提供异步和并行的标准语言和基础设施。

第一项工作侧重于内存模型，该模型已合并到 C++ 11 中，但当并行性和并发性变得更加普遍时，必须对其进行更新。C++ 11 的内存模型强调跨多核 CPU 的并发执行，但它缺乏并行编程钩子。C++ 17 标准为更高级别的并行特性奠定了基础，但真正的可移植性必须等待未来的标准。C++ 20 是当前标准，而 C++ 23 即将推出。

via: https://www.opensourceforu.com/2022/05/nvidia-begins-to-set-the-foundation-for-future-open-and-parallel-coding/

作者：Laveesh Kocher 选题：lkxed 译者：zxcv545 校对：wxy

本文由 LCTT 原创编译，Linux中国 荣誉推出