Rating sa mga librarya nga nanginahanglan espesyal nga pagsusi sa seguridad

Foundation nga giumol sa Linux Foundation Inisyatibo sa Panguna nga Infrastruktura, diin ang mga nanguna nga mga korporasyon nag-uban pwersa aron suportahan ang mga open source nga proyekto sa mga nag-unang bahin sa industriya sa kompyuter, gigastohan ikaduhang pagtuon sulod sa programa census, nga gitumong sa pag-ila sa mga open source nga proyekto nga nanginahanglan ug priority security audits.

Ang ikaduha nga pagtuon nagpunting sa pagtuki sa gipaambit nga open source code nga dili klaro nga gigamit sa lainlaing mga proyekto sa negosyo sa porma sa mga dependency nga gi-download gikan sa mga eksternal nga repositoryo. Ang mga kahuyangan ug pagkompromiso sa mga nag-develop sa mga sangkap sa ikatulo nga partido nga nahilambigit sa operasyon sa mga aplikasyon (kadena sa suplay) mahimong makawala sa tanan nga mga paningkamot aron mapaayo ang pagpanalipod sa panguna nga produkto. Ingon sa usa ka resulta sa pagtuon kini gihubit Ang 10 nga labing kasagarang gigamit nga mga pakete sa JavaScript ug Java, ang seguridad ug pagpadayon nga nanginahanglan espesyal nga atensyon.

Mga librarya sa JavaScript gikan sa npm repository:

• async (196 ka libo nga linya sa code, 11 ka tagsulat, 7 committers, 11 ka bukas nga isyu);
• makapanunod (3.8 ka libo nga linya sa code, 3 ka tagsulat, 1 committer, 3 nga wala masulbad nga mga problema);
• isarray (317 linya sa code, 3 tagsulat, 3 committers, 4 bukas nga isyu);
• matang-sa (2 ka libo nga linya sa code, 11 ka tagsulat, 11 ka committers, 3 wala masulbad nga mga problema);
• lodash (42 ka libo nga linya sa code, 28 ka tagsulat, 2 committers, 30 ka bukas nga isyu);
• minimalist (1.2 ka libo nga linya sa code, 14 ka tagsulat, 6 committers, 38 ka bukas nga isyu);
• mga lumad (3 ka libo nga linya sa code, 2 ka tagsulat, 1 committer, walay bukas nga isyu);
• qs (5.4 ka libo nga linya sa code, 5 ka tagsulat, 2 committers, 41 ka bukas nga isyu);
• mabasa-sapa (28 ka libo nga linya sa code, 10 ka tagsulat, 3 committers, 21 ka bukas nga isyu);
• string_decoder (4.2 ka libo nga linya sa code, 4 ka tagsulat, 3 committers, 2 bukas nga isyu).

Mga librarya sa Java gikan sa mga repositoryo sa Maven:

• jackson-core (74 ka libo nga linya sa code, 7 ka tagsulat, 6 committers, 40 ka bukas nga isyu);
• jackson-databind (74 ka libo nga linya sa code, 23 ka tagsulat, 2 committers, 363 ka bukas nga isyu);
• bayabas.git, Google libraries para sa Java (1 milyon nga linya sa code, 83 ka awtor, 3 committers, 620 ka bukas nga isyu);
• komon-codec (51 ka libo nga linya sa code, 3 ka tagsulat, 3 committers, 29 ka bukas nga mga isyu);
• komon-io (73 ka libo nga linya sa code, 10 ka tagsulat, 6 committers, 148 ka bukas nga isyu);
• httpcomponents-kliyente (121 ka libo nga linya sa code, 16 ka tagsulat, 8 committers, 47 ka bukas nga isyu);
• http component-core (131 ka libo nga linya sa code, 15 ka tagsulat, 4 committers, 7 bukas nga isyu);
• pag-logback (154 ka libo nga linya sa code, 1 tagsulat, 2 committers, 799 bukas nga mga isyu);
• commons-lang (168 ka libo nga linya sa code, 28 ka tagsulat, 17 ka committers, 163 ka bukas nga mga isyu);
• slf4j (38 ka libo nga linya sa code, 4 ka tagsulat, 4 ka committers, 189 ka bukas nga mga isyu);

Gitubag usab sa taho ang mga isyu sa pag-standardize sa laraw sa pagngalan sa mga eksternal nga sangkap, pagpanalipod sa mga account sa developer, ug pagpadayon sa mga bersyon sa kabilin pagkahuman nahimo ang mga dagkong bag-ong pagpagawas. Dugang nga gipatik sa Linux Foundation ang dokumento nga adunay praktikal nga mga rekomendasyon alang sa pag-organisar sa usa ka luwas nga proseso sa pag-uswag alang sa bukas nga gigikanan nga mga proyekto.

Gitubag sa dokumento ang mga isyu sa pag-apod-apod sa mga tahas sa proyekto, paghimo og mga team nga responsable sa seguridad, pagtino sa mga palisiya sa seguridad, pag-monitor sa mga gahum nga naa sa mga partisipante sa proyekto, sa husto nga paggamit sa Git sa pag-ayo sa mga kahuyangan aron malikayan ang mga pagtulo sa wala pa imantala ang pag-ayo, pagtino sa mga proseso sa pagtubag sa mga taho. sa mga problema sa seguridad, pagpatuman sa mga sistema sa pagsulay sa seguridad, aplikasyon sa mga pamaagi sa pagrepaso sa code, nga gikonsiderar ang mga pamatasan nga may kalabotan sa seguridad kung maghimo mga pagpagawas.

Source: opennet.ru