A könyvtárak biztonsági ellenőrzése, amelyek különleges figyelmet igényelnek

A Linux Foundation létrehozott alapja Core Infrastructure Initiative, amely keretében a vezető vállalatok közös erőfeszítéseket tettek a kulcsfontosságú számítástechnikai területeken részt vevő nyílt projektek támogatásának biztosítására, elvégezte a program keretében végzett második kutatás Census, amely a nyílt projektek biztonsági auditjának sürgős igényét kívánja azonosítani.

A második kutatás célja a különböző vállalati projektekben, függőségek formájában, külső tárolókból letöltött, implicit módon használt nyílt kód elemzése. A harmadik féltől származó komponensek fejlesztőinek sebezhetősége és kompromittálódása, amelyek az alkalmazások működéséhez szükségesek (ellátási lánc), érvénytelenítheti az alaptermék védelmének javítására tett összes erőfeszítést. A kutatás eredményeként meghatározásra került a 10 leggyakrabban használt csomag JavaScript és Java nyelven, amelyek biztonsága és karbantartási aktivitása külön figyelmet igényel.

JavaScript könyvtárak az npm tárolóból:

• async (196 ezer kód sor, 11 szerző, 7 elkövető, 11 megoldatlan probléma);
• inherits (3.8 ezer kód sor, 3 szerző, 1 elkövető, 3 megoldatlan probléma);
• isarray (317 kód sor, 3 szerző, 3 elkövető, 4 megoldatlan probléma);
• kind-of (2 ezer kód sor, 11 szerző, 11 elkövető, 3 megoldatlan probléma);
• lodash (42 ezer kód sor, 28 szerző, 2 elkövető, 30 megoldatlan probléma);
• minimist (1.2 ezer kód sor, 14 szerző, 6 elkövető, 38 megoldatlan probléma);
• natives (3 ezer kód sor, 2 szerző, 1 elkövető, nincs megoldatlan probléma);
• qs (5.4 ezer kód sor, 5 szerző, 2 elkövető, 41 megoldatlan probléma);
• readable-stream (28 ezer kód sor, 10 szerző, 3 elkövető, 21 megoldatlan probléma);
• string_decoder (4.2 ezer kód sor, 4 szerző, 3 elkövető, 2 megoldatlan probléma).

Java könyvtárak a Maven tárolókból:

• jackson-core (74 ezer kód sor, 7 szerző, 6 elkövető, 40 megoldatlan probléma);
• jackson-databind (74 ezer kód sor, 23 szerző, 2 elkövető, 363 megoldatlan probléma);
• guava.git, a Google könyvtárai Javahoz (1 millió kód sor, 83 szerző, 3 elkövető, 620 megoldatlan probléma);
• commons-codec (51 ezer kód sor, 3 szerző, 3 elkövető, 29 megoldatlan probléma);
• commons-io (73 ezer kód sor, 10 szerző, 6 elkövető, 148 megoldatlan probléma);
• httpcomponents-client (121 ezer kód sor, 16 szerző, 8 committer, 47 megoldatlan probléma);
• httpcomponents-core (131 ezer kód sor, 15 szerző, 4 committer, 7 megoldatlan probléma);
• logback (154 ezer kód sor, 1 szerző, 2 committer, 799 megoldatlan probléma);
• commons-lang (168 ezer kód sor, 28 szerző, 17 committer, 163 megoldatlan probléma);
• slf4j (38 ezer kód sor, 4 szerző, 4 committer, 189 megoldatlan probléma);

A jelentésben a külső komponensek elnevezésének szabványosításáról, a fejlesztők fiókjainak védelméről és az új lényeges kiadások után az elavult verziók fenntartásáról is szó esik. Továbbá a Linux Foundation szervezete közzétett dokumentumot praktikus ajánlásokat az nyílt projektek biztonságos fejlesztési folyamatának megszervezésére vonatkozóan.

A dokumentumban a projekt szerepköreinek elosztásáról, a biztonságért felelős csapatok létrehozásáról, a biztonsági politika meghatározásáról, a projekthez csatlakozó tagok jogosultságainak nyomon követéséről, a Git helyes használatáról a sebezhetőségek javítása során, hogy elkerüljük a javítás közzététele előtti kiszivárgásokat, a biztonsági problémákra való reagálás folyamatának meghatározásáról, a biztonsági tesztelési rendszerek megvalósításáról, a kód átvizsgálási eljárások alkalmazásáról, valamint a biztonsággal kapcsolatos szempontok figyelembe vételéről a kiadások elkészítésekor van szó.

Forrás: opennet.ru