Рейтинг на библиотеки, изискващи специални проверки за сигурност

Фондация, създадена от Linux Foundation Инициатива за основна инфраструктура, в който водещи корпорации обединиха усилия в подкрепа на проекти с отворен код в ключови области на компютърната индустрия, изразходвани второ проучване в рамките на програмата преброяване на населението, насочен към идентифициране на проекти с отворен код, които се нуждаят от приоритетни одити на сигурността.

Второто проучване се фокусира върху анализа на споделен код с отворен код, имплицитно използван в различни корпоративни проекти под формата на зависимости, изтеглени от външни хранилища. Уязвимостите и компрометирането на разработчиците на компоненти на трети страни, участващи в работата на приложенията (верига за доставки), могат да отменят всички усилия за подобряване на защитата на основния продукт. В резултат на проучването беше решителен 10-те най-често използвани пакета в JavaScript и Java, чиято сигурност и поддръжка изискват специално внимание.

JavaScript библиотеки от npm хранилище:

• асинхронен (196 хиляди реда код, 11 автора, 7 комитера, 11 отворени проблема);
• наследява (3.8 хиляди реда код, 3 автора, 1 комитер, 3 нерешени проблема);
• isarray (317 реда код, 3 автора, 3 комитера, 4 отворени проблема);
• един вид (2 хиляди реда код, 11 автори, 11 комити, 3 нерешени проблема);
• лодаш (42 хиляди реда код, 28 автора, 2 комитера, 30 отворени проблема);
• минималистичен (1.2 хиляди реда код, 14 автора, 6 комитера, 38 отворени проблема);
• местните жители (3 хиляди реда код, 2 автори, 1 комит, без отворени въпроси);
• qs (5.4 хиляди реда код, 5 автора, 2 комитера, 41 отворени проблема);
• четим поток (28 хиляди реда код, 10 автора, 3 комитера, 21 отворени проблема);
• низ_декодер (4.2 хиляди реда код, 4 автора, 3 комитера, 2 отворени проблема).

Java библиотеки от хранилищата на Maven:

• jackson-core (74 хиляди реда код, 7 автора, 6 комитера, 40 отворени проблема);
• jackson-databind (74 хиляди реда код, 23 автора, 2 комитера, 363 отворени проблема);
• guava.git, библиотеки на Google за Java (1 милион реда код, 83 автора, 3 комитера, 620 отворени проблема);
• Commons-кодек (51 хиляди реда код, 3 автора, 3 комитера, 29 отворени проблема);
• Commons-io (73 хиляди реда код, 10 автора, 6 комитера, 148 отворени проблема);
• httpcomponents-клиент (121 хиляди реда код, 16 автори, 8 комити, 47 отворени проблеми);
• httpcomponents-core (131 хиляди реда код, 15 автора, 4 комитера, 7 отворени проблема);
• логбек (154 хиляди реда код, 1 автор, 2 комитира, 799 отворени въпроса);
• общ език (168 хиляди реда код, 28 автора, 17 комитера, 163 отворени проблема);
• slf4j (38 хиляди реда код, 4 автора, 4 комитера, 189 отворени въпроса);

Докладът също така разглежда проблемите на стандартизирането на схемата за именуване на външни компоненти, защитата на акаунтите на разработчиците и поддържането на наследени версии след издаването на големи нови версии. Допълнително публикувано от Linux Foundation документ с практически препоръки за организиране на сигурен процес на разработка на проекти с отворен код.

Документът разглежда въпросите за разпределяне на ролите в проекта, създаване на екипи, отговорни за сигурността, дефиниране на политики за сигурност, наблюдение на правомощията, които имат участниците в проекта, правилно използване на Git при коригиране на уязвимости, за да се избегнат течове преди публикуване на корекцията, дефиниране на процеси за отговор на доклади на проблеми със сигурността, внедряване на системи за тестване на сигурността, прилагане на процедури за преглед на кода, като се вземат предвид критериите, свързани със сигурността при създаване на версии.

Източник: opennet.ru