특별한 보안 점검이 필요한 도서관 등급

리눅스 재단이 설립한 재단 핵심 인프라 이니셔티브, 컴퓨터 산업의 주요 분야에서 오픈 소스 프로젝트를 지원하기 위해 선도적인 기업들이 힘을 합친, 지출하다 프로그램 내 두 번째 연구 인구 조사, 우선 보안 감사가 필요한 오픈 소스 프로젝트를 식별하는 것을 목표로 합니다.

두 번째 연구는 외부 저장소에서 다운로드된 종속성 형태로 다양한 기업 프로젝트에서 암묵적으로 사용되는 공유 오픈 소스 코드를 분석하는 데 중점을 둡니다. 애플리케이션(공급망) 운영과 관련된 타사 구성 요소 개발자의 취약성 및 손상으로 인해 주요 제품 보호를 개선하려는 모든 노력이 무효화될 수 있습니다. 연구한 결과 그랬다. 분명히 JavaScript 및 Java에서 가장 일반적으로 사용되는 10가지 패키지는 보안 및 유지 관리에 특별한 주의가 필요합니다.

npm 저장소의 JavaScript 라이브러리:

• 비동기 (코드 196줄, 작성자 11명, 커미터 7명, 공개 이슈 11개)
• 상속 (코드 3.8줄, 작성자 3명, 커미터 1명, 미해결 문제 3개)
• 배열 (코드 317줄, 작성자 3명, 커미터 3명, 공개 이슈 4개)
• 일종의 (코드 2줄, 작성자 11명, 커미터 11명, 미해결 문제 3개)
• Lodash (코드 42줄, 작성자 28명, 커미터 2명, 공개 이슈 30개)
• 미니멀리스트 (코드 1.2줄, 작성자 14명, 커미터 6명, 공개 이슈 38개)
• 원주민 (코드 3줄, 작성자 2명, 커미터 1명, 미해결 이슈 없음)
• qs (코드 5.4줄, 작성자 5명, 커미터 2명, 공개 이슈 41개)
• 읽기 가능한 스트림 (코드 28줄, 작성자 10명, 커미터 3명, 공개 이슈 21개)
• 문자열_디코더 (코드 4.2줄, 작성자 4명, 커미터 3명, 공개 이슈 2개).

Maven 저장소의 Java 라이브러리:

• 잭슨 코어 (코드 74줄, 작성자 7명, 커미터 6명, 공개 이슈 40개)
• 잭슨-데이터바인드 (코드 74줄, 작성자 23명, 커미터 2명, 공개 이슈 363개)
• guava.git, Java용 Google 라이브러리(1만 줄의 코드, 83명의 작성자, 3명의 커미터, 620개의 공개 이슈);
• 커먼즈 코덱 (코드 51줄, 작성자 3명, 커미터 3명, 공개 이슈 29개)
• 커먼즈 아이오 (코드 73줄, 작성자 10명, 커미터 6명, 공개 이슈 148개)
• http컴포넌트-클라이언트 (코드 121줄, 작성자 16명, 커미터 8명, 공개 이슈 47개)
• http컴포넌트 코어 (코드 131줄, 작성자 15명, 커미터 4명, 공개 이슈 7개)
• 로그백 (코드 154줄, 작성자 1명, 커미터 2명, 공개 이슈 799개)
• 커먼즈 랭 (코드 168줄, 작성자 28명, 커미터 17명, 공개 이슈 163개)
• slf4j (코드 38줄, 작성자 4명, 커미터 4명, 공개 이슈 189개)

또한 이 보고서는 외부 구성 요소의 명명 체계 표준화, 개발자 계정 보호, 주요 새 릴리스 이후 레거시 버전 유지와 관련된 문제를 다루고 있습니다. Linux Foundation에서 추가로 출판함 문서 오픈 소스 프로젝트를 위한 안전한 개발 프로세스를 구성하기 위한 실용적인 권장 사항을 제공합니다.

이 문서는 프로젝트의 역할 분산, 보안을 담당하는 팀 구성, 보안 정책 정의, 프로젝트 참가자의 권한 모니터링, 취약점 수정 시 Git을 올바르게 사용하여 수정 사항 게시 전 누출 방지, 보고서 대응 프로세스 정의 등의 문제를 다룹니다. 보안 문제, 보안 테스트 시스템 구현, 코드 검토 절차 적용, 릴리스 생성 시 보안 관련 기준 고려.

출처 : opennet.ru