Organizzazione Linux La Fondazione, in collaborazione con l'Harvard Science Innovation Lab, ha preparato una nuova edizione dello studio Census III, volta a identificare i progetti open source più diffusi che richiedono audit di sicurezza prioritari. Lo studio ha analizzato il codice open source condiviso, utilizzato implicitamente in diversi progetti aziendali come dipendenza scaricata da repository esterni. In totale, sono state analizzate oltre 12 milioni di librerie open source utilizzate in applicazioni impiegate da 10 aziende diverse.
Sulla base delle statistiche raccolte, sono stati compilati elenchi delle 500 librerie utilizzate più frequentemente, la cui sicurezza e qualità della manutenzione richiedono particolare attenzione, poiché le vulnerabilità e la compromissione delle dipendenze degli sviluppatori di terze parti possono vanificare tutti gli sforzi per migliorare la protezione del prodotto principale. Vengono offerti in totale 8 elenchi, i cui contenuti sono classificati in base a vari criteri, come la consegna nel repository NPM e la presenza di informazioni sulla versione durante la determinazione delle dipendenze.
Alcune conclusioni:
- Il 17% dei primi 50 progetti non rappresentati nel repository NPM ha un solo sviluppatore e il 40% ha uno o due sviluppatori che hanno effettuato l'80% dei commit.
- Rispetto al precedente rapporto 2022, l’utilizzo di pacchetti per interagire con i servizi cloud è aumentato tra i pacchetti importanti.
- La migrazione dei progetti da Python 2 a Python 3 continua.
- I pacchetti Maven continuano ad essere popolari e l'uso dei pacchetti dai repository PIP (Python), Cargo (Rust) e NuGet (.NET) è in crescita.
- Come in precedenza, è necessario utilizzare schemi di denominazione standardizzati per i componenti software.
- L'importanza di proteggere gli account degli sviluppatori è aumentata. Molti dei pacchetti più popolari sono ospitati negli account di sviluppatori specifici, che sono meno sicuri degli account delle organizzazioni create per il progetto.
- I 20 pacchetti JavaScript più comunemente utilizzati dal repository NPM, scaricati dalle applicazioni senza essere vincolati alla versione:
- I 20 pacchetti più comunemente utilizzati da repository non NPM scaricati dalle applicazioni senza essere vincolati a una versione:
Fonte: opennet.ru
