Оценка на библиотеки кои бараат посебни безбедносни проверки

Фондација формирана од Фондацијата Линукс Основна инфраструктурна иницијатива, во која водечките корпорации ги здружија силите за поддршка на проекти со отворен код во клучните области на компјутерската индустрија, потрошени втора студија во рамките на програмата Попис, со цел да се идентификуваат проекти со отворен код на кои им се потребни приоритетни безбедносни ревизии.

Втората студија се фокусира на анализата на споделениот код со отворен код имплицитно користен во различни проекти на претпријатијата во форма на зависност преземени од надворешни складишта. Ранливостите и компромисите на развивачите на компоненти од трети страни вклучени во работењето на апликациите (синџирот на снабдување) можат да ги негираат сите напори за подобрување на заштитата на главниот производ. Како резултат на студијата беше дефинитивно 10-те најчесто користени пакети во JavaScript и Java, чија безбедност и одржување бараат посебно внимание.

JavaScript библиотеки од складиштето npm:

• асинх (196 илјади линии код, 11 автори, 7 извршители, 11 отворени изданија);
• наследува (3.8 илјади линии код, 3 автори, 1 извршител, 3 нерешени проблеми);
• низа (317 линии код, 3 автори, 3 обврзници, 4 отворени прашања);
• вид-на (2 илјади линии код, 11 автори, 11 извршители, 3 нерешени проблеми);
• лодаш (42 илјади линии код, 28 автори, 2 извршители, 30 отворени изданија);
• минимистичка (1.2 илјади линии код, 14 автори, 6 извршители, 38 отворени изданија);
• староседелци (3 илјади линии код, 2 автори, 1 извршител, без отворени прашања);
• qs (5.4 илјади линии код, 5 автори, 2 извршители, 41 отворен број);
• читлив-поток (28 илјади линии код, 10 автори, 3 извршители, 21 отворен број);
• стринг_декодер (4.2 илјади линии код, 4 автори, 3 извршители, 2 отворени изданија).

Јава библиотеки од складиштата на Maven:

• џексон-кор (74 илјади линии код, 7 автори, 6 извршители, 40 отворени изданија);
• jackson-databind (74 илјади линии код, 23 автори, 2 извршители, 363 отворени изданија);
• гуава.гит, библиотеки на Google за Java (1 милион линии код, 83 автори, 3 извршители, 620 отворени изданија);
• Commons-кодек (51 илјада линии код, 3 автори, 3 обврзници, 29 отворени изданија);
• Commons-io (73 илјади линии код, 10 автори, 6 извршители, 148 отворени изданија);
• httpcomponents-client (121 илјади линии код, 16 автори, 8 обврзници, 47 отворени изданија);
• httpcomponents-core (131 илјади линии код, 15 автори, 4 обврзници, 7 отворени изданија);
• најава (154 илјади линии код, 1 автор, 2 обврзници, 799 отворени изданија);
• Commons-lang (168 илјади линии код, 28 автори, 17 извршители, 163 отворени изданија);
• slf4j (38 илјади линии код, 4 автори, 4 обврзници, 189 отворени изданија);

Извештајот, исто така, се однесува на прашањата за стандардизирање на шемата за именување на надворешните компоненти, заштита на сметките на програмерите и одржување на наследените верзии откако ќе бидат направени големи нови изданија. Дополнително објавено од Фондацијата Линукс документот со практични препораки за организирање на безбеден развојен процес за проекти со отворен код.

Документот се однесува на прашањата за дистрибуција на улоги во проектот, создавање тимови одговорни за безбедноста, дефинирање безбедносни политики, следење на овластувањата што ги имаат учесниците во проектот, правилно користење на Git при поправка на пропусти за да се избегне протекување пред објавување на поправката, дефинирање на процеси за одговор на извештаите на проблеми со безбедноста, имплементација на безбедносни системи за тестирање, примена на процедури за преглед на кодови, земајќи ги предвид критериумите поврзани со безбедноста при креирањето на изданија.

Извор: opennet.ru