Рейтинг на библиотеките, изискващи специална проверка на сигурността

Създаденият фонд на Linux Foundation Core Infrastructure Initiative, в рамките на който водещи корпорации обединиха усилията си, за да осигурят поддръжка на отворени проекти, ангажирани в ключови области на компютърната индустрия, проведе второто изследване в рамките на програмата Census, насочена към идентифициране на отворени проекти, нуждаещи се от приоритетен одит на сигурността.

Второто изследване е насочено към анализа на споделения отворен код, неявно използван в различни корпоративни проекти под формата на зависимости, изтегляни от външни репозитории. Уязвимостите и компрометацията на разработчиците на трети компоненти, ангажирани в работата на приложенията (supply chain), могат да обезценят всички усилия за подобряване на защитата на основния продукт. В резултат на изследването беше определено 10-те най-често използвани пакета на JavaScript и Java, сигурността и активността на поддръжката на които изискват специално внимание.

JavaScript библиотеки от репозитория npm:

• асинхронно (196 хиляди реда код, 11 автори, 7 комитъра, 11 незатворени проблема);
• inherits (3.8 хиляди реда код, 3 автори, 1 комитър, 3 незатворени проблема);
• isarray (317 реда код, 3 автора, 3 комитъра, 4 незатворени проблема);
• kind-of (2 хиляди реда код, 11 автори, 11 комитъра, 3 незатворени проблема);
• lodash (42 хиляди реда код, 28 автори, 2 комитъра, 30 незатворени проблема);
• minimist (1.2 хиляди реда код, 14 автори, 6 комитъра, 38 незатворени проблема);
• natives (3 хиляди реда код, 2 автора, 1 комитър, няма незатворени проблема);
• qs (5.4 хиляди реда код, 5 автори, 2 комитъра, 41 незатворен проблем);
• readable-stream (28 хиляди реда код, 10 автори, 3 комитъра, 21 незатворен проблем);
• string_decoder (4.2 хиляди реда код, 4 автора, 3 комитъра, 2 незатворени проблема).

Java библиотеки от репозитории Maven:

• jackson-core (74 хиляди реда код, 7 автори, 6 комитъра, 40 незатворени проблема);
• jackson-databind (74 хиляди реда код, 23 автори, 2 комитъра, 363 незатворени проблема);
• guava.git, Google библиотеки за Java (1 милион реда код, 83 автори, 3 комитъра, 620 незатворени проблема);
• commons-codec (51 хиляда реда код, 3 автора, 3 комитъра, 29 незатворени проблема);
• commons-io (73 хиляди реда код, 10 автори, 6 комитъра, 148 незатворени проблема);
• httpcomponents-client (121 хиляди реда код, 16 автори, 8 комитери, 47 незатворени проблема);
• httpcomponents-core (131 хиляди реда код, 15 автори, 4 комитера, 7 незатворени проблема);
• logback (154 хиляди реда код, 1 автор, 2 комитера, 799 незатворени проблема);
• commons-lang (168 хиляди реда код, 28 автори, 17 комитери, 163 незатворени проблема);
• slf4j (38 хиляди реда код, 4 автори, 4 комитери, 189 незатворени проблема);

В отчета също са разгледани въпросите за стандартизиране на схемата за именуване на външните компоненти, защита на акаунтите на разработчиците и поддържане на остарели версии след създаване на нови значителни версии. Допълнително, организацията Linux Foundation публикува документ с практически препоръки за организация на безопасния процес на разработка на отворени проекти.

В документа са разгледани въпросите за разпределението на ролите в проекта, създаване на екипи, отговарящи за сигурността, определяне на политика за безопасност, наблюдение на правомощията на участниците в проекта, коректно използване на Git при коригиране на уязвимости, за да се избегне изтичане преди публикуване на корекция, определяне на процеси за реагиране на доклади за проблеми със сигурността, внедряване на системи за тестване на сигурността, прилагане на процедури за рецензиране на кода, вземане под внимание на критериите, свързани с безопасността, при формирането на релийзи.

Източник: opennet.ru