Рейтинг на библиотеките, изискващи особена проверка на безопасността

Създаден фонд при организацията на Linux Foundation Core Infrastructure Initiative, в рамките на който водещи корпорации обединиха усилията си за осигуряване на подкрепа за отворени проекти, активни в ключови области на компютърната индустрия, извърши второ проучване в рамките на програмата Census, насочена към идентифициране на отворени проекти, които се нуждаят от приоритетен одит на сигурността.

Второто проучване е фокусирано върху анализа на общо използвания отворен код, иноктивно прилаган в различни корпоративни проекти под формата на зависимости, зареждани от външни репозитории. Уязвимости и компрометации на разработчици на трети компоненти, свързани с работата на приложения (supply chain), могат да отменят всички усилия за подобряване на защитата на основния продукт. В резултат на проучването беше определено 10-те най-често използвани пакета на JavaScript и Java, чиято сигурност и активност на поддръжката изискват особено внимание.

Библиотеки JavaScript от репозитория npm:

• async (196 хиляди реда код, 11 автори, 7 комитери, 11 незатворени проблема);
• inherits (3.8 хиляди реда код, 3 автора, 1 комитер, 3 незатворени проблема);
• isarray (317 реда код, 3 автора, 3 комитери, 4 незатворени проблема);
• kind-of (2 хиляди реда код, 11 автори, 11 комитери, 3 незатворени проблема);
• lodash (42 хиляди реда код, 28 автори, 2 комитери, 30 незатворени проблема);
• minimist (1.2 хиляди реда код, 14 автори, 6 комитери, 38 незатворени проблема);
• natives (3 хиляди реда код, 2 автора, 1 комитер, няма незатворени проблема);
• qs (5.4 хиляди реда код, 5 автори, 2 комитери, 41 незатворен проблем);
• readable-stream (28 хиляди реда код, 10 автори, 3 комитери, 21 незатворени проблема);
• string_decoder (4.2 хиляди реда код, 4 автора, 3 комитери, 2 незатворени проблема).

Библиотеки Java от репозиторите Maven:

• jackson-core (74 хиляди реда код, 7 автори, 6 комитери, 40 незатворени проблема);
• jackson-databind (74 хиляди реда код, 23 автори, 2 комитери, 363 незатворени проблема);
• guava.git, библиотеки Google за Java (1 милион реда код, 83 автора, 3 комитери, 620 незатворени проблема);
• commons-codec (51 хиляда реда код, 3 автора, 3 комитери, 29 незатворени проблема);
• commons-io (73 хиляди реда код, 10 автори, 6 комитери, 148 незатворени проблема);
• httpcomponents-client (121 хиляда реда код, 16 автора, 8 комитъра, 47 неразрешени проблема);
• httpcomponents-core (131 хиляда реда код, 15 автора, 4 комитъра, 7 неразрешени проблема);
• logback (154 хиляди реда код, 1 автор, 2 комитъра, 799 неразрешени проблема);
• commons-lang (168 хиляди реда код, 28 автора, 17 комитъра, 163 неразрешени проблема);
• slf4j (38 хиляди реда код, 4 автора, 4 комитъра, 189 неразрешени проблема);

В доклада също се разглеждат въпросите на стандартизацията на схемата за именуване на външни компоненти, защитата на акаунтите на разработчиците и поддържането на остарели версии след създаването на нови значителни издания. Допълнително, организацията Linux Foundation публикува документ с практически препоръки за организиране на безопасен процес на разработване на отворени проекти.

В документа се разглеждат въпросите за разпределение на ролите в проекта, създаването на екипи, отговорни за сигурността, определянето на политика за сигурност, проследяването на правата, които имат участниците в проекта, правилната употреба на Git при поправка на уязвимости, за да се избегнат изтичания преди публикуването на корекцията, определянето на процеси за реакция на съобщения за проблеми със сигурността, внедряването на системи за тестване на сигурността, прилагането на процедури за преглед на кода и вземането предвид на свързани с безопасността критерии при формирането на релизи.

Източник: opennet.ru