Organisation Linux I samarbejde med Harvard Science Innovation Lab har fonden udarbejdet en ny udgave af Census III-undersøgelsen, der har til formål at identificere de mest anvendte open source-projekter, der kræver prioriterede sikkerhedsrevisioner. Undersøgelsen analyserede delt open source-kode, der implicit bruges i forskellige virksomhedsprojekter som afhængigheder downloadet fra eksterne databaser. I alt blev mere end 12 millioner open source-biblioteker analyseret, der anvendes i applikationer, som anvendes af 10 forskellige virksomheder.
Baseret på den indsamlede statistik er der udarbejdet lister over de 500 hyppigst anvendte biblioteker, hvis sikkerhed og kvalitet af vedligeholdelse kræver særlig opmærksomhed, da sårbarheder og kompromittering af tredjeparts afhængighedsudviklere kan ophæve alle bestræbelser på at forbedre beskyttelsen af hovedprodukt. Der tilbydes i alt 8 lister, hvis indhold er rangeret afhængigt af forskellige kriterier, såsom levering i NPM-lageret og tilstedeværelsen af versionsinformation ved bestemmelse af afhængigheder.
Nogle konklusioner:
- 17 % af de 50 bedste projekter, der ikke er repræsenteret i NPM-arkivet, har kun én udvikler, og 40 % har en eller to udviklere, der har foretaget 80 % af commits.
- Sammenlignet med den tidligere 2022-rapport er brugen af pakker til interaktion med cloud-tjenester steget blandt vigtige pakker.
- Migreringen af projekter fra Python 2 til Python 3 fortsætter.
- Maven-pakker er fortsat populære, og brugen af pakker fra PIP (Python), Cargo (Rust) og NuGet (.NET) repositories vokser.
- Som tidligere er der behov for at bruge standardiserede navneskemaer til softwarekomponenter.
- Vigtigheden af at beskytte udviklerkonti er blevet større. Mange af de mest populære pakker er hostet under konti for specifikke udviklere, som er mindre sikre end konti hos organisationer, der er oprettet til projektet.
- De 20 mest almindeligt anvendte JavaScript-pakker fra NPM-lageret, downloadet af applikationer uden at være bundet til version:
- De 20 mest almindeligt anvendte pakker fra ikke-NPM-lagre, der downloades af applikationer uden at være bundet til en version:
Kilde: opennet.ru
