GitHub s iniciativou , cílem je organizovat spolupráci odborníků na bezpečnost z různých společností a organizací, aby identifikovali zranitelnosti a přispěli k jejich odstranění v kódu otevřených projektů.
V rámci iniciativy jsou zvány všechny zájemce, včetně jednotlivců a odborníků na kybernetickou bezpečnost. Za identifikaci zranitelnosti odměna až do výše 3000 dolarů, v závislosti na závažnosti problému a kvalitě sestavené zprávy. Pro zasílání informací o problémech se doporučuje použít nástroj , který umožňuje vytvořit šablonu zranitelného kódu pro identifikaci přítomnosti podobné zranitelnosti v kódu dalších projektů (CodeQL umožňuje provádět sémantickou analýzu kódu a vytvářet dotazy pro hledání specifických konstrukcí).
K iniciativě se již připojili odborníci na bezpečnost z firem F5, Google, HackerOne, Intel, IOActive, J.P. Morgan, LinkedIn, Microsoft, Mozilla, NCC Group, Oracle, Trail of Bits, Uber a
VMWare, kteří za poslední dva roky a 105 zranitelností v takových projektech jako jsou Chromium, libssh2, jádro Linuxu, Memcached, UBoot, VLC, Apport, HHVM, Exiv2, FFmpeg, Fizz, libav, Ansible, npm, XNU, Ghostscript, Icecast, Apache Struts, strongSwan, Apache Ignite, rsyslog, Apache Geode a Hadoop.
Návrh životního cyklu údržby bezpečnosti kódu na GitHubu předpokládá, že účastníci GitHub Security Lab budou identifikovat zranitelnosti, po čemž budou informace o problémech předány správcům a vývojářům, kteří vypracují opravy, dohodnou se na čase zveřejnění informací o problému a informují závislé projekty o nutnosti instalace verze bez zranitelnosti. V databázi budou umístěny šablony CodeQL, které pomohou předejít opětovnému výskytu odstraněných problémů v kódu přítomném na GitHubu.
Nyní je možné prostřednictvím rozhraní GitHub získat CVE identifikátor pro identifikovaný problém a připravit zprávu, zatímco GitHub sám rozešle potřebná upozornění a zorganizuje jejich koordinovanou opravu. Navíc, po odstranění problému GitHub automaticky odešle pull žádosti pro aktualizaci souvisejících závislostí zranitelného projektu.
GitHub také zavádí do svého katalogu zranitelností , kde jsou zveřejněny informace o zranitelnostech týkajících se projektů na GitHubu a informace pro sledování postižených problémů balíčků a repozitářů. CVE identifikátory zmíněné v komentářích na GitHubu nyní automaticky odkazují na podrobnosti o zranitelnosti v předložené databázi. Pro automatizaci práce s databází byl navržen samostatný .
bylo také oznámeno aktualizace pro ochranu před ve veřejně přístupných repozitářích
důvěrných dat, jako jsou autentizační tokeny a přístupové klíče. Během odeslání se skener kontroluje typické formáty klíčů a tokenů, které se používají , včetně API Alibaba Cloud, Amazon Web Services (AWS), Azure, Google Cloud, Slack a Stripe. V případě zjištění tokenu je poskytovateli služby zaslán požadavek na potvrzení úniku a stažení kompromitovaných tokenů. Od včerejška, kromě dříve podporovaných formátů, byla přidána podpora pro detekci tokenů GoCardless, HashiCorp, Postman a Tencent.
Zdroj: opennet.ru
