דירוג ספריות הדורשות בדיקות אבטחה מיוחדות

קרן שהוקמה על ידי קרן לינוקס יוזמת תשתיות ליבה, שבה חברו תאגידים מובילים לתמיכה בפרויקטים של קוד פתוח בתחומים מרכזיים בתעשיית המחשבים, מוּתַשׁ לימוד שני במסגרת התכנית מפקד, שמטרתו לזהות פרויקטי קוד פתוח הזקוקים לביקורות אבטחה עדיפות.

המחקר השני מתמקד בניתוח של קוד קוד פתוח משותף בשימוש מרומז בפרויקטים ארגוניים שונים בצורה של תלות שהורדו ממאגרים חיצוניים. פגיעויות ופשרה של מפתחי רכיבי צד שלישי המעורבים בתפעול יישומים (שרשרת אספקה) יכולים לשלול את כל המאמצים לשפר את ההגנה על המוצר הראשי. כתוצאה מהמחקר זה היה בהחלט 10 החבילות הנפוצות ביותר ב-JavaScript וב-Java, אשר האבטחה והתחזוקה שלהן דורשות תשומת לב מיוחדת.

ספריות JavaScript ממאגר npm:

• אסינכרוני (196 אלף שורות קוד, 11 מחברים, 7 מתחייבים, 11 גיליונות פתוחים);
• יורש (3.8 אלף שורות קוד, 3 מחברים, 1 committer, 3 בעיות לא פתורות);
• isarray (317 שורות קוד, 3 מחברים, 3 מתחייבים, 4 גיליונות פתוחים);
• סוג של (2 שורות קוד, 11 מחברים, 11 מתחייבים, 3 בעיות לא פתורות);
• לודש (42 אלף שורות קוד, 28 מחברים, 2 מתחייבים, 30 גיליונות פתוחים);
• מינימליסט (1.2 אלף שורות קוד, 14 מחברים, 6 מתחייבים, 38 גיליונות פתוחים);
• ילידים (3 שורות קוד, 2 מחברים, 1 committer, ללא בעיות פתוחות);
• qs (5.4 אלף שורות קוד, 5 מחברים, 2 מתחייבים, 41 גיליונות פתוחים);
• זרם קריא (28 אלף שורות קוד, 10 מחברים, 3 מתחייבים, 21 גיליונות פתוחים);
• string_decoder (4.2 אלף שורות קוד, 4 מחברים, 3 מתחייבים, 2 גיליונות פתוחים).

ספריות Java ממאגרי Maven:

• ג'קסון-ליבת (74 אלף שורות קוד, 7 מחברים, 6 מתחייבים, 40 גיליונות פתוחים);
• jackson-databind (74 אלף שורות קוד, 23 מחברים, 2 מתחייבים, 363 גיליונות פתוחים);
• guava.git, ספריות Google עבור Java (מיליון שורות קוד, 1 מחברים, 83 גורמים, 3 גיליונות פתוחים);
• commons-codec (51 אלף שורות קוד, 3 מחברים, 3 מתחייבים, 29 גיליונות פתוחים);
• commons-io (73 אלף שורות קוד, 10 מחברים, 6 מתחייבים, 148 גיליונות פתוחים);
• httpcomponents-client (121 אלף שורות קוד, 16 מחברים, 8 מתחייבים, 47 גיליונות פתוחים);
• httpcomponents-core (131 אלף שורות קוד, 15 מחברים, 4 מתחייבים, 7 גיליונות פתוחים);
• לוגבק (154 אלף שורות קוד, מחבר אחד, 1 מתחייבים, 2 גיליונות פתוחים);
• commons-lang (168 אלף שורות קוד, 28 מחברים, 17 מתחייבים, 163 גיליונות פתוחים);
• slf4j (38 אלף שורות קוד, 4 מחברים, 4 מתחייבים, 189 גיליונות פתוחים);

הדו"ח מתייחס גם לבעיות של סטנדרטיזציה של ערכת השמות של רכיבים חיצוניים, הגנה על חשבונות מפתחים ושמירה על גרסאות מדור קודם לאחר ביצוע מהדורות חדשות גדולות. פורסם בנוסף על ידי קרן לינוקס מסמך עם המלצות מעשיות לארגון תהליך פיתוח מאובטח לפרויקטים בקוד פתוח.

המסמך מתייחס לנושאים של חלוקת תפקידים בפרויקט, יצירת צוותים אחראיים לאבטחה, הגדרת מדיניות אבטחה, מעקב אחר הסמכויות שיש למשתתפי הפרויקט, שימוש נכון ב-Git בעת תיקון פרצות כדי למנוע הדלפות לפני פרסום התיקון, הגדרת תהליכי תגובה לדיווחים של בעיות באבטחה, הטמעת מערכות בדיקות אבטחה, יישום נהלי סקירת קוד, תוך התחשבות בקריטריונים הקשורים לאבטחה בעת יצירת מהדורות.

מקור: OpenNet.ru