Linux Foundation koostöös Harvardi teaduse innovatsiooni laboriga on valmistanud uue versiooni uuringust Census III, mille eesmärk on tuvastada kõige laialdasemalt kasutatavad avatud projektid, mis vajavad esmatähtsat turvaauditi. Uuringu käigus analüüsiti jagatud avatud koodi, mis on vaikselt kasutusel erinevates ettevõtteprojektides sõltuvustena, mis laaditakse alla välistest repositorydest. Kokku on uuritud üle 12 miljoni avatud raamatukogu, mida kasutatakse 10 000 erinevas ettevõttes.
Koostatud statistika põhjal on koostatud nimekirjad 500 kõige sagedamini kasutatavast raamatukogust, mille turvalisus ja kvaliteet vajavad erilist tähelepanu, kuna kolmandate osapoolte sõltuvuste haavatavused ja kompromiteerimine võivad nullida kõik jõupingutused peamise toote kaitse täiustamiseks. Kokku on ette nähtud 8 nimekirja, mille sisu on järjestatud vastavalt erinevatele kriteeriumidele, nagu NPM-repositooriumis kohaletoimetamine ja teabe olemasolu versiooni määratlemisel sõltuvuste määratlemiseks.
Mõned järeldused:
- 17% 50 kõige populaarsemast projektist, mis ei ole esindatud NPM-repositooriumis, omavad ainult ühte arendajat, ning 40% -l on üks või kaks arendajat, kes tegid 80% commit'e.
- Võrreldes 2022. aasta varasema aruandega on oluliste pakettide seas suurenenud pilveteenuste paketide kasutamine.
- Projekte koostatakse jätkuvalt Python 2-lt Python 3-le.
- Maven-pakettide populaarsus säilib ja PIP (Python), Cargo (Rust) ja NuGet (.NET) reposte kasutamine kasvab.
- Nagu varasemalt, on vajadus standardiseeritud programmikomponentide nimetamise skeemide järele endiselt olemas.
- Arendajate kontode kaitse olulisus on suurenenud. Paljud nõudlikumad paketid on paigutatud konkreetsete arendajate kontode alla, mis on vähem kaitstud kui organisatsioonide projektide jaoks loodud kontod.
- 20 kõige sagedamini kasutatavat JavaScripti paketti NPM-i repositooriumist, mida rakendused laadivad versiooni sidumata:
- 20 kõige sagedamini kasutatavat paketti teistest repositooriumidest, mida rakendused laadivad versiooni sidumata:
Allikas: opennet.ru
