Tehnilistele raamatukogudele, mis vajavad erilist turvaseiret

Linux Foundationi kaudu loodud fond Core Infrastructure Initiative, mille raames on juhtivad ettevõtted ühendanud jõud avatud projektide toetamiseks, mis on seotud arvutustehnika põhivaldkondadega, tegi teine uuring selle programmi raames Census, mis on suunatud avatud projektide tuvastamisele, mis vajavad esmajärjekorras turvaauditi.

Teine uuring keskendub ühiselt kasutatava avatud koodi analüüsile, mis on kaudsete sõltuvustena rakendustes kasutusel, ja mida laaditakse kolmandate osapoolte repositooriumidest. Haavatavused ja kolmandate osapoolte komponente arendavate arendajate kompromiteerimine, kes on rakenduste töös osalised (supply chain), võivad kõik kaitsestrateegiad nullida. Uuringu käigus tuvastati 10 kõige sagedamini kasutatavat paketti JavaScriptis ja Javas, mille turvalisus ja hooldusaktiivsus vajavad erilist tähelepanu. JavaScripti raamatukogud npm-repositooriumist:

(196 tuhat koodi rida, 11 autorit, 7 komiteed, 11 avatud probleemi);

• async inherits
• (3.8 tuhat koodi rida, 3 autorit, 1 komiteed, 3 avatud probleemi); isarray
• (317 koodi rida, 3 autorit, 3 komiteed, 4 avatud probleemi); kind-of
• (2 tuhat koodi rida, 11 autorit, 11 komiteed, 3 avatud probleemi); (42 tuhat koodi rida, 28 autorit, 2 komiteed, 30 avatud probleemi);
• lodash minimist
• (1.2 tuhat koodi rida, 14 autorit, 6 komiteed, 38 avatud probleemi); natives
• (3 tuhat koodi rida, 2 autorit, 1 komiteed, avatud probleeme pole); qs
• (5.4 tuhat koodi rida, 5 autorit, 2 komiteed, 41 avatud probleemi); readable-stream
• (28 tuhat koodi rida, 10 autorit, 3 komiteed, 21 avatud probleemi); string_decoder
• (4.2 tuhat koodi rida, 4 autorit, 3 komiteed, 2 avatud probleemi). Java raamatukogud Maven repositooriumidest:

jackson-core

• (74 tuhat koodi rida, 7 autorit, 6 komiteed, 40 avatud probleemi); jackson-databind
• (74 tuhat koodi rida, 23 autorit, 2 komiteed, 363 avatud probleemi); guava.git
• , Google'i Java raamatukogud (1 miljon koodi rida, 83 autorit, 3 komiteed, 620 avatud probleemi);commons-codec
• (51 tuhat koodi rida, 3 autorit, 3 komiteed, 29 avatud probleemi); commons-io
• (73 tuhat koodi rida, 10 autorit, 6 komiteed, 148 avatud probleemi); httpcomponents-client
• httpcomponents-client (121 tuhat rida koodi, 16 autorit, 8 panustajat, 47 avamata probleemi);
• httpcomponents-core (131 tuhat rida koodi, 15 autorit, 4 panustajat, 7 avamata probleemi);
• logback (154 tuhat rida koodi, 1 autor, 2 panustajat, 799 avamata probleemi);
• commons-lang (168 tuhat rida koodi, 28 autorit, 17 panustajat, 163 avamata probleemi);
• slf4j (38 tuhat rida koodi, 4 autorit, 4 panustajat, 189 avamata probleemi);

Uuringus käsitletakse ka välist komponentide nimetamise skeemi standardimise, arendajate kontode kaitsmise ja aegunud versioonide säilitamise küsimusi pärast uute oluliste väljalaskmiside loomist. Lisaks on Linux Foundation avaldanud dokumendi praktiliste soovitustega avatud projektide arendamise turvalise protsessi korraldamiseks.

Dokumendis käsitletakse projekti rollide jaotamist, turvalisuse eest vastutavate meeskondade loomist, turvapoliitika määratlemist, osalejate volituste jälgimist, Git-i korrektset kasutamist haavatavuste parandamisel, et vältida lekkeid enne paranduse avaldamist, probleemide turvameede käsitlemise protsesside määratlemist, turvatestimise süsteemide rakendamist, koodi ülevaatamise protseduuride rakendamist ja turvalisuse alaste kriteeriumide arvestamist versioonide loomisel.

Allikas: opennet.ru