Hodnocení knihoven, které vyžadují zvláštní kontrolu bezpečnosti

Založený fond Linux Foundation Core Infrastructure Initiative, v jehož rámci se přední korporace spojily, aby podpořily otevřené projekty zapojené do klíčových oblastí počítačového průmyslu, provedl druhá studie v rámci programu Census, jejímž cílem je identifikovat otevřené projekty, které potřebují prioritní audit bezpečnosti.

Druhá studie je zaměřena na analýzu sdíleného otevřeného kódu, který je nepřímo používán v různých firemních projektech jako závislosti stahované z externích repozitářů. Zranitelnosti a kompromitace vývojářů třetích stran, které se podílejí na aplikacích (supply chain), mohou zmařit veškeré snahy o zlepšení ochrany hlavního produktu. Výsledkem studie bylo určeno 10 nejčastěji používaných balíčků JavaScriptu a Javy, jejichž bezpečnost a aktivní údržba vyžadují zvláštní pozornost.

JavaScriptové knihovny z repozitáře npm:

• async (196 tisíc řádků kódu, 11 autorů, 7 komiterů, 11 neuzavřených problémů);
• inherits (3.8 tisíc řádků kódu, 3 autoři, 1 komiter, 3 neuzavřené problémy);
• isarray (317 řádků kódu, 3 autoři, 3 komiterů, 4 neuzavřené problémy);
• kind-of (2 tisíce řádků kódu, 11 autorů, 11 komiterů, 3 neuzavřené problémy);
• lodash (42 tisíc řádků kódu, 28 autorů, 2 komiterů, 30 neuzavřených problémů);
• minimist (1.2 tisíc řádků kódu, 14 autorů, 6 komiterů, 38 neuzavřených problémů);
• natives (3 tisíce řádků kódu, 2 autoři, 1 komiter, žádné neuzavřené problémy);
• qs (5.4 tisíc řádků kódu, 5 autorů, 2 komiterů, 41 neuzavřených problémů);
• readable-stream (28 tisíc řádků kódu, 10 autorů, 3 komiterů, 21 neuzavřených problémů);
• string_decoder (4.2 tisíc řádků kódu, 4 autoři, 3 komiterů, 2 neuzavřené problémy).

Java knihovny z repozitářů Maven:

• jackson-core (74 tisíc řádků kódu, 7 autorů, 6 komiterů, 40 neuzavřených problémů);
• jackson-databind (74 tisíc řádků kódu, 23 autorů, 2 komiterů, 363 neuzavřených problémů);
• guava.git, knihovny Google pro Javu (1 milion řádků kódu, 83 autorů, 3 komiterů, 620 neuzavřených problémů);
• commons-codec (51 tisíc řádků kódu, 3 autoři, 3 komiterů, 29 neuzavřených problémů);
• commons-io (73 tisíc řádků kódu, 10 autorů, 6 komiterů, 148 neuzavřených problémů);
• httpcomponents-client (121 tisíc řádků kódu, 16 autorů, 8 komiterů, 47 neuzavřených problémů);
• httpcomponents-core (131 tisíc řádků kódu, 15 autorů, 4 commitři, 7 nevyřešených problémů);
• logback (154 tisíce řádků kódu, 1 autor, 2 commitři, 799 nevyřešených problémů);
• commons-lang (168 tisíc řádků kódu, 28 autorů, 17 commitři, 163 nevyřešených problémů);
• slf4j (38 tisíc řádků kódu, 4 autoři, 4 commitři, 189 nevyřešených problémů);

Zpráva rovněž zkoumá otázky standardizace schématu pojmenování externích komponent, ochrany účtů vývojářů a údržby zastaralých verzí po vzniku nových významných vydání. Dále byla organizací Linux Foundation vydána dokument s praktickými doporučeními pro organizaci bezpečného procesu vývoje otevřených projektů.

Dokument se zabývá otázkami rozdělení rolí v projektu, vytvoření týmů zodpovědných za bezpečnost, stanovení politiky bezpečnosti, sledování oprávnění účastníků projektu, správným používáním Gitu při odstraňování zranitelností, aby se zabránilo únikům před zveřejněním opravy, definování procesů reakce na hlášení o bezpečnostních problémech, zavádění systémů testování bezpečnosti, aplikováním procedur revize kódu a zohledněním bezpečnostních kritérií při vytváření vydání.

Zdroj: opennet.ru