Organización Linux A Fundación, en colaboración co Harvard Science Innovation Lab, preparou unha nova edición do estudo Census III, co obxectivo de identificar os proxectos de código aberto máis empregados que requiren auditorías de seguridade prioritarias. O estudo analizou o código aberto compartido que se emprega implicitamente en varios proxectos corporativos como dependencias descargadas de repositorios externos. En total, analizáronse máis de 12 millóns de bibliotecas de código aberto empregadas en aplicacións empregadas por 10 empresas diferentes.
Baseándonos nas estatísticas recompiladas, compilamos unha lista das 500 bibliotecas máis empregadas cuxa seguridade e calidade de mantemento requiren unha atención especial, xa que as vulnerabilidades e os compromisos dos desenvolvedores de dependencias de terceiros poden anular todos os esforzos para mellorar a seguridade do produto principal. Desenvolvéronse un total de oito listas, clasificadas segundo varios criterios, como a dispoñibilidade nos repositorios NPM e a presenza de información da versión ao determinar as dependencias.
Algunhas conclusións:
- O 17 % dos 50 proxectos máis populares que non figuran no repositorio de NPM só teñen un desenvolvedor e o 40 % teñen un ou dous desenvolvedores que realizan o 80 % das confirmacións.
- En comparación co informe anterior de 2022, entre os paquetes importantes, aumentou o uso de paquetes para a interacción con servizos na nube.
- A migración de proxectos de Python 2 a Python 3 continúa.
- Os paquetes Maven seguen sendo populares e o uso de paquetes dos repositorios PIP (Python), Cargo (Rust) e NuGet (.NET) está a medrar.
- Como antes, existe a necesidade de usar esquemas de nomenclatura estandarizados para os compoñentes de software.
- A protección das contas de desenvolvedores tornouse cada vez máis importante. Moitos dos paquetes máis populares están aloxados nas contas de desenvolvedores específicos, que son menos seguras que as contas das organizacións creadas especificamente para o proxecto.
- Os 20 paquetes JavaScript máis empregados do repositorio NPM, cargados por aplicacións sen ningunha restrición de versión:
- Os 20 paquetes máis empregados de repositorios non NPM descargados por aplicacións sen ningunha restrición de versión son:
Fonte: opennet.ru
