Bedømmelsen af biblioteker, der kræver særlig sikkerhedskontrol

Den dannede fond ved organisationen Linux Foundation Core Infrastructure Initiative, hvor førende virksomheder har samlet deres kræfter for at støtte åbne projekter involveret i nøglerettighederne inden for computerindustrien, har gennemført det andet studie i programmet Census, der sigter mod at identificere åbne projekter, der har brug for prioriteret sikkerhedsaudit.

Det andet studie fokuserer på analysen af delt kode, der implicit anvendes i forskellige erhvervsprojekter i form af afhængigheder, der hentes fra eksterne repositories. Sårbarheder og kompromittering af udviklere af eksterne komponenter involveret i applikationernes arbejde (supply chain), kan helt underminerer alle bestræbelser på at forbedre sikkerheden for det primære produkt. Som følge af undersøgelsen blev bestemt de 10 mest anvendte pakker i JavaScript og Java, hvis sikkerhed og vedligeholdelsesaktivitet kræver særlig opmærksomhed.

JavaScript-biblioteker fra npm-repositoryet:

• async (196.000 linjer kode, 11 forfattere, 7 bidragydere, 11 åbne problemer);
• inherits (3.800 linjer kode, 3 forfattere, 1 bidragyder, 3 åbne problemer);
• isarray (317 linjer kode, 3 forfattere, 3 bidragydere, 4 åbne problemer);
• kind-of (2.000 linjer kode, 11 forfattere, 11 bidragydere, 3 åbne problemer);
• lodash (42.000 linjer kode, 28 forfattere, 2 bidragydere, 30 åbne problemer);
• minimist (1.200 linjer kode, 14 forfattere, 6 bidragydere, 38 åbne problemer);
• natives (3.000 linjer kode, 2 forfattere, 1 bidragyder, ingen åbne problemer);
• qs (5.400 linjer kode, 5 forfattere, 2 bidragydere, 41 åbne problemer);
• readable-stream (28.000 linjer kode, 10 forfattere, 3 bidragydere, 21 åbne problemer);
• string_decoder (4.200 linjer kode, 4 forfattere, 3 bidragydere, 2 åbne problemer).

Java-biblioteker fra Maven-repositories:

• jackson-core (74.000 linjer kode, 7 forfattere, 6 bidragydere, 40 åbne problemer);
• jackson-databind (74.000 linjer kode, 23 forfattere, 2 bidragydere, 363 åbne problemer);
• guava.git, Google-biblioteker til Java (1 million linjer kode, 83 forfattere, 3 bidragydere, 620 åbne problemer);
• commons-codec (51.000 linjer kode, 3 forfattere, 3 bidragydere, 29 åbne problemer);
• commons-io (73.000 linjer kode, 10 forfattere, 6 bidragydere, 148 åbne problemer);
• httpcomponents-client (121.000 kodlinjer, 16 forfattere, 8 committers, 47 åbne problemer);
• httpcomponents-core (131.000 kodlinjer, 15 forfattere, 4 committers, 7 åbne problemer);
• logback (154.000 kodlinjer, 1 forfatter, 2 committers, 799 åbne problemer);
• commons-lang (168.000 kodlinjer, 28 forfattere, 17 committers, 163 åbne problemer);
• slf4j (38.000 kodlinjer, 4 forfattere, 4 committers, 189 åbne problemer);

Rapporten behandler også spørgsmål om standardisering af navngivningsskemaer for eksterne komponenter, beskyttelse af udvikleres konti og vedligeholdelse af forældede versioner efter udgivelsen af nye betydelige versioner. Derudover er der offentliggjort af Linux Foundation dokument med praktiske anbefalinger til organisering af en sikker udviklingsproces for åbne projekter.

Dokumentet behandler spørgsmål vedrørende rollefordeling i projektet, oprettelse af teams med ansvar for sikkerhed, fastsættelse af sikkerhedspolitikker, overvågning af de beføjelser, som projektdeltagerne har, korrekt brug af Git ved reparation af sårbarheder for at undgå lækager før offentliggørelse af reparationer, fastlæggelse af reaktionsprocesser for sikkerhedsproblemer, implementering af testsystemer til sikkerhed, anvendelse af kodegennemgangsprocedurer samt hensyntagen til sikkerhedsrelaterede kriterier ved udgivelser.

Kilde: opennet.ru