GitHub s inicijativom , usmjerena na organizaciju suradnje stručnjaka za sigurnost iz raznih tvrtki i organizacija radi otkrivanja ranjivosti i podrške njihovom uklanjanju u kodu otvorenih projekata.
Sve zainteresovane tvrtke i pojedinačni stručnjaci za računalnu sigurnost pozvani su da se pridruže inicijativi. Za otkrivanje ranjivosti isplata nagrade do 3000 dolara, ovisno o ozbiljnosti problema i kvaliteti izrade izvještaja. Za slanje informacija o problemima preporučuje se koristiti alat , koji omogućuje kreiranje predloška ranjivog koda za otkrivanje prisutnosti slične ranjivosti u kodu drugih projekata (CodeQL omogućava semantičku analizu koda i kreiranje upita za pretraživanje određenih konstrukcija).
Inicijativi su se već pridružili istraživači sigurnosti iz tvrtki F5, Google, HackerOne, Intel, IOActive, J.P. Morgan, LinkedIn, Microsoft, Mozilla, NCC Group, Oracle, Trail of Bits, Uber i
VMware, koji su u posljednje dvije godine i 105 ranjivosti u takvim projektima kao što su Chromium, libssh2, jezgru Linuxa, Memcached, UBoot, VLC, Apport, HHVM, Exiv2, FFmpeg, Fizz, libav, Ansible, npm, XNU, Ghostscript, Icecast, Apache Struts, strongSwan, Apache Ignite, rsyslog, Apache Geode i Hadoop.
Predloženi GitHubov životni ciklus održavanja sigurnosti koda podrazumijeva da će članovi GitHub Security Lab otkrivati ranjivosti, nakon čega će informacije o problemima biti proslijeđene održavateljima i programerima, koji će razvijati ispravke, dogovarati vrijeme objavljivanja informacija o problemu i obavještavati zavisne projekte o potrebi instaliranja verzije koja ispravlja ranjivost. U bazi će biti smješteni CodeQL predloži, koji će spriječiti ponovno pojavljivanje ispravljenih problema u kodu prisutnom na GitHubu.
Kroz sučelje GitHub sada je moguće CVE identifikator za otkrivenu problematiku i pripremiti izvještaj, a GitHub će sam poslati potrebna obavještenja i organizirati njihovo koordinirano ispravljanje. Štoviše, nakon rješavanja problema, GitHub automatski šalje pull zahtjeve za ažuriranje povezanih ovisnosti ranjivog projekta.
GitHub je također uveo trajni katalog ranjivosti , u kojem se objavljuju informacije o ranjivostima koje utječu na projekte na GitHubu, te informacije za praćenje pogođenih problema paketa i repozitorija. CVE identifikatori koji se spominju u komentarima na GitHubu sada se automatski povezuju s detaljnim informacijama o ranjivosti u predstavljenoj bazi podataka. Za automatizaciju rada s bazom podataka predložen je poseban .
Također se izvještava o ažuriranju za zaštitu od u javno dostupne repozitorije
povjerljivih podataka, poput tokena za autentifikaciju i ključeva pristupa. Tijekom commita skener provjerava uobičajene formate ključeva i tokena koji se koriste , uključujući API Alibaba Clouda, Amazon Web Services (AWS), Azure, Google Cloud, Slack i Stripe. U slučaju otkrivanja tokena, pružatelju usluga se šalje zahtjev za potvrdom curenja i opozivom kompromitiranih tokena. Od jučer je, osim ranije podržanih formata, dodana podrška za prepoznavanje tokena GoCardless, HashiCorp, Postman i Tencent.
Izvor: opennet.ru
