खुला स्रोत परियोजनाहरू कायम राख्ने र पुरानो निर्भरताहरू प्रयोग गर्ने समस्याहरूको मूल्याङ्कन गर्ने

आपूर्ति शृङ्खला आक्रमणहरू विरुद्ध सुरक्षामा विशेषज्ञता हासिल गर्ने कम्पनी सोनाटाइपले माभेन सेन्ट्रल, एनपीएम, पाइप्ल र नुगेट रिपोजिटरीमा होस्ट गरिएका ओपन-सोर्स जाभा, जाभास्क्रिप्ट, पाइथन र .NET परियोजनाहरूमा निर्भरता र मर्मतसम्भारका मुद्दाहरूमा गरिएको अध्ययन (पीडीएफ, ६२ पृष्ठ) को नतिजा प्रकाशित गरेको छ। विगत एक वर्षमा, अनुगमन गरिएका ओपन-सोर्स इकोसिस्टमहरूमा परियोजनाहरूको संख्या औसत २९% ले बढेको छ। प्रश्नमा रहेका रिपोजिटरहरूबाट प्याकेज डाउनलोडहरूको संख्या २०२३ मा ३३% ले बढेको छ, जुन २०२१ मा ७३% ले बढेको थियो।

भण्डारहरूमा दुर्भावनापूर्ण गतिविधि उल्लेखनीय रूपमा बढेको छ—वर्षको सुरुदेखि नै २,४५,००० दुर्भावनापूर्ण प्याकेजहरू पत्ता लगाइएको छ, र निर्भरताहरू प्रतिस्थापन गर्ने उद्देश्यले रेकर्ड गरिएका आक्रमणहरूको संख्या दोब्बर भएको छ।

धेरै परियोजनाहरूले कमजोर संस्करणहरू प्रयोग गर्न जारी राख्छन्। उदाहरणका लागि, Log4j जाभा प्याकेजको २३% डाउनलोडहरूमा अझै पनि २०२१ मा समाधान गरिएका महत्वपूर्ण कमजोरीहरू भएका संस्करणहरू समावेश छन्। Maven Central भण्डारमा, सबै डाउनलोडहरूको लगभग १२% ज्ञात कमजोरीहरू भएका घटकहरूका लागि हुन्। औसतमा, सबै भण्डारहरूमा, जोखिमपूर्ण रूपमा वर्गीकृत गरिएका प्याकेजहरूको पुरानो संस्करणहरूको डाउनलोडको हिस्सा (जस्तै, अनप्याच गरिएको कमजोरीहरू सहित) २०% छ (८०% केसहरूमा, हालको संस्करण डाउनलोड गरिएको छ)। ९६% केसहरूमा, समस्या पहिले नै समाधान भइसकेका संस्करणहरू छनौट गरेर कमजोर घटकहरूको डाउनलोडबाट बच्न सकिन्थ्यो।

सुरक्षा कायम राख्ने एउटा महत्त्वपूर्ण चुनौती भनेको गुणस्तरीय परियोजना मर्मतसम्भारको अभाव पनि हो। यो जाभा र जाभास्क्रिप्ट इकोसिस्टममा एउटा महत्त्वपूर्ण समस्या हो: गत वर्ष, माभेन सेन्ट्रल र NPM मा पेश गरिएका र अघिल्लो वर्ष कायम गरिएका पाँच मध्ये एक परियोजना (१८.६%) मर्मतसम्भार बन्द भएको छ। माभेन, NPM, PyP1, र NuGet भण्डारहरूमा विश्लेषण गरिएका १.१७६ मिलियन परियोजनाहरू मध्ये, केवल ११% (११८,०००) सक्रिय रूपमा मर्मतसम्भार गर्न जारी छ।

अध्ययनमा विभिन्न कम्पनीहरूका ६२१ पेशेवर विकासकर्ताहरूको सर्वेक्षण पनि समावेश गरिएको थियो। उत्तरदाताहरूमध्ये ६७ प्रतिशतले विश्वास गर्छन् कि उनीहरूका अनुप्रयोगहरूले कमजोर पुस्तकालयहरू प्रयोग गर्दैनन्, १०% ले विगत १२ महिनामा खुला-स्रोत कमजोरीहरूका कारण सुरक्षा घटनाहरूको सामना गरेका छन्, र २०% अनिश्चित छन्। अठ्ठाईस प्रतिशत कम्पनीहरूले कमजोरी प्रकटीकरणको एक दिन भित्र कमजोर घटकहरू पहिचान गर्छन्, ३९% ले एक देखि सात दिन भित्र पहिचान गर्छन्, र २९% ले एक हप्ता भन्दा बढी भित्र पहिचान गर्छन्।

स्रोत: opennet.ru