Bibliotekų, kurioms reikia specialių saugumo patikrų, reitingas

„Linux Foundation“ sudarytas fondas Pagrindinės infrastruktūros iniciatyva, kuriame pirmaujančios korporacijos suvienijo jėgas, siekdamos paremti atvirojo kodo projektus pagrindinėse kompiuterių pramonės srityse, išleista antroji studija pagal programą Surašymas, kuriuo siekiama nustatyti atvirojo kodo projektus, kuriems reikia prioritetinių saugos auditų.

Antrasis tyrimas skirtas bendrai naudojamo atvirojo kodo, netiesiogiai naudojamo įvairiuose įmonių projektuose kaip priklausomybių, atsisiųstų iš išorinių saugyklų, analizei. Trečiųjų šalių komponentų, dalyvaujančių programų (tiekimo grandinės) veikime, kūrėjų pažeidžiamumas ir kompromisas gali paneigti visas pastangas pagerinti pagrindinio produkto apsaugą. Tyrimo rezultatas buvo būtinai 10 dažniausiai naudojamų „JavaScript“ ir „Java“ paketų, kurių saugumui ir priežiūrai reikia skirti ypatingą dėmesį.

„JavaScript“ bibliotekos iš npm saugyklos:

• Async (196 tūkst. kodo eilučių, 11 autorių, 7 įpareigotojai, 11 atvirų numerių);
• paveldi (3.8 tūkst. kodo eilučių, 3 autoriai, 1 įsipareigojėjas, 3 neišspręstos problemos);
• isarray (317 kodo eilučių, 3 autoriai, 3 įpareigotojai, 4 atviri numeriai);
• maždaug (2 tūkst. kodo eilučių, 11 autorių, 11 įsipareigojimų, 3 neišspręstos problemos);
• lodash (42 tūkst. kodo eilučių, 28 autoriai, 2 įpareigotojai, 30 atvirų numerių);
• minimalistas (1.2 tūkst. kodo eilučių, 14 autorių, 6 įpareigotojai, 38 atviri numeriai);
• vietinių gyventojų (3 tūkst. kodo eilučių, 2 autoriai, 1 įsipareigojėjas, neišspręstų klausimų nėra);
• qs (5.4 tūkst. kodo eilučių, 5 autoriai, 2 įpareigotojai, 41 atviras numeris);
• skaitomas srautas (28 tūkst. kodo eilučių, 10 autoriai, 3 įpareigotojai, 21 atviras numeris);
• eilutės_dekoderis (4.2 tūkst. kodo eilučių, 4 autoriai, 3 įpareigotojai, 2 atviri numeriai).

„Java“ bibliotekos iš „Maven“ saugyklų:

• jackson-core (74 tūkst. kodo eilučių, 7 autorių, 6 įpareigotojai, 40 atviri numeriai);
• Jackson-databind (74 tūkst. kodo eilučių, 23 autorių, 2 įpareigotojai, 363 atviri numeriai);
• gvajava.git, Google bibliotekos, skirtos Java (1 milijonas kodo eilučių, 83 autoriai, 3 įsipareigojimai, 620 neišspręstų numerių);
• Commons-kodekas (51 tūkst. kodo eilučių, 3 autoriai, 3 įpareigotojai, 29 atviri numeriai);
• commons-io (73 tūkst. kodo eilučių, 10 autorių, 6 įpareigotojai, 148 atviri numeriai);
• httpkomponentai-klientas (121 tūkst. kodo eilučių, 16 autorių, 8 įpareigotojai, 47 neišleisti numeriai);
• httpcomponents-core (131 tūkst. kodo eilučių, 15 autorių, 4 įpareigotojai, 7 atviri numeriai);
• atsijungimas (154 tūkst. kodo eilučių, 1 autorius, 2 įpareigotojai, 799 neišleisti numeriai);
• Commons-lang (168 tūkst. kodo eilučių, 28 autoriai, 17 įsipareigojimų, 163 atviri numeriai);
• slf4j (38 tūkst. kodo eilučių, 4 autoriai, 4 įpareigotojai, 189 atviri numeriai);

Ataskaitoje taip pat aptariamos išorinių komponentų pavadinimų schemos standartizavimo, kūrėjų paskyrų apsaugos ir senų versijų palaikymo po pagrindinių naujų leidimų problemos. Papildomai paskelbė Linux Foundation dokumentą su praktinėmis rekomendacijomis, kaip organizuoti saugų atvirojo kodo projektų kūrimo procesą.

Dokumente nagrinėjami vaidmenų paskirstymo projekte, už saugumą atsakingų komandų kūrimo, saugumo politikos apibrėžimo, projekto dalyvių turimų galių stebėjimo, teisingo Git naudojimo taisant spragas siekiant išvengti nutekėjimo prieš pataisymo paskelbimą, atsakymo į ataskaitas procesų apibrėžimo klausimai. saugumo problemų, saugumo testavimo sistemų diegimas, kodų peržiūros procedūrų taikymas, atsižvelgiant į su saugumu susijusius kriterijus kuriant leidimus.

Šaltinis: opennet.ru