विशेष सुरक्षा जाँचहरू आवश्यक पर्ने पुस्तकालयहरूको मूल्याङ्कन

लिनक्स फाउन्डेशन द्वारा स्थापना गरिएको फाउन्डेशन मुख्य पूर्वाधार पहल, जसमा प्रमुख कर्पोरेटहरू कम्प्युटर उद्योगका प्रमुख क्षेत्रहरूमा खुला स्रोत परियोजनाहरूलाई समर्थन गर्न सेनामा सामेल भए, खर्च भयो कार्यक्रम भित्र दोस्रो अध्ययन जनगणना, प्राथमिकता सुरक्षा अडिटहरू आवश्यक पर्ने खुला स्रोत परियोजनाहरू पहिचान गर्ने उद्देश्यले।

दोस्रो अध्ययनले बाह्य भण्डारहरूबाट डाउनलोड गरिएका निर्भरताहरूको रूपमा विभिन्न उद्यम परियोजनाहरूमा स्पष्ट रूपमा प्रयोग गरिएको साझा खुला स्रोत कोडको विश्लेषणमा केन्द्रित छ। अनुप्रयोगहरू (आपूर्ति श्रृंखला) को सञ्चालनमा संलग्न तेस्रो-पक्ष कम्पोनेन्टहरूको विकासकर्ताहरूको कमजोरी र सम्झौताले मुख्य उत्पादनको सुरक्षा सुधार गर्ने सबै प्रयासहरूलाई अस्वीकार गर्न सक्छ। अध्ययनको नतिजाको रूपमा यो थियो परिभाषित जाभास्क्रिप्ट र जाभामा 10 सबैभन्दा धेरै प्रयोग गरिएका प्याकेजहरू, सुरक्षा र मर्मत योग्यतामा विशेष ध्यान चाहिन्छ।

npm भण्डारबाट जाभास्क्रिप्ट पुस्तकालयहरू:

• async (196 हजार लाइन कोड, 11 लेखक, 7 प्रतिबद्धता, 11 खुला मुद्दाहरू);
• विरासत (३.८ हजार लाइन कोड, ३ लेखक, १ कमिटर, ३ अनसुलझे समस्या);
• isarray (कोडको 317 लाइनहरू, 3 लेखकहरू, 3 प्रतिबद्धताहरू, 4 खुला मुद्दाहरू);
• प्रकारको (कोडका 2 हजार लाइनहरू, 11 लेखकहरू, 11 प्रतिबद्धताहरू, 3 समाधान नभएका समस्याहरू);
• lodash (42 हजार लाइन कोड, 28 लेखक, 2 कमिटर, 30 खुला मुद्दाहरू);
• न्यूनतमवादी (कोडको 1.2 हजार लाइनहरू, 14 लेखकहरू, 6 प्रतिबद्धताहरू, 38 खुला मुद्दाहरू);
• मूल निवासी (कोडको 3 हजार लाइनहरू, 2 लेखकहरू, 1 कमिटर, कुनै खुला मुद्दाहरू छैनन्);
• qs (5.4 हजार कोड लाइनहरू, 5 लेखकहरू, 2 प्रतिबद्धकर्ताहरू, 41 खुला मुद्दाहरू);
• पठनीय धारा (28 हजार कोड लाइनहरू, 10 लेखकहरू, 3 प्रतिबद्धकर्ताहरू, 21 खुला मुद्दाहरू);
• string_decoder (4.2 हजार लाइनहरू कोड, 4 लेखकहरू, 3 प्रतिबद्धताहरू, 2 खुला मुद्दाहरू)।

Maven भण्डारहरूबाट जाभा पुस्तकालयहरू:

• ज्याक्सन कोर (कोडको 74 हजार लाइनहरू, 7 लेखकहरू, 6 प्रतिबद्धताहरू, 40 खुला मुद्दाहरू);
• जैक्सन-डेटाबिन्ड (कोडको 74 हजार लाइनहरू, 23 लेखकहरू, 2 प्रतिबद्धताहरू, 363 खुला मुद्दाहरू);
• guava.git, जाभाका लागि गुगल पुस्तकालयहरू (कोडका 1 मिलियन लाइनहरू, 83 लेखकहरू, 3 प्रतिबद्धताहरू, 620 खुला मुद्दाहरू);
• commons-codec (51 हजार लाइन कोड, 3 लेखक, 3 कमिटर, 29 खुला मुद्दाहरू);
• commons-io (कोडको 73 हजार लाइनहरू, 10 लेखकहरू, 6 प्रतिबद्धताहरू, 148 खुला मुद्दाहरू);
• httpcomponents-client (121 हजार लाइनहरू कोड, 16 लेखकहरू, 8 प्रतिबद्धताहरू, 47 खुला मुद्दाहरू);
• httpcomponents-core (131 हजार लाइनहरू कोड, 15 लेखकहरू, 4 प्रतिबद्धताहरू, 7 खुला मुद्दाहरू);
• लगब्याक (कोडको 154 हजार लाइनहरू, 1 लेखक, 2 प्रतिबद्धताहरू, 799 खुला मुद्दाहरू);
• commons-lang (168 हजार लाइनहरू कोड, 28 लेखकहरू, 17 प्रतिबद्धताहरू, 163 खुला मुद्दाहरू);
• slf4j (38 हजार लाइन कोड, 4 लेखक, 4 कमिटर, 189 खुला मुद्दाहरू);

प्रतिवेदनले बाह्य कम्पोनेन्टहरूको नामकरण योजनालाई मानकीकरण गर्ने, विकासकर्ता खाताहरूको सुरक्षा गर्ने, र प्रमुख नयाँ रिलीजहरू भएपछि लिगेसी संस्करणहरू कायम राख्ने मुद्दाहरूलाई पनि सम्बोधन गर्दछ। थप रूपमा लिनक्स फाउन्डेशन द्वारा प्रकाशित कागजात खुला स्रोत परियोजनाहरूको लागि सुरक्षित विकास प्रक्रिया व्यवस्थित गर्न व्यावहारिक सिफारिसहरू सहित।

कागजातले परियोजनामा ​​भूमिकाहरू वितरण गर्ने, सुरक्षाका लागि जिम्मेवार टोलीहरू सिर्जना गर्ने, सुरक्षा नीतिहरू परिभाषित गर्ने, परियोजना सहभागीहरूसँग भएका शक्तिहरूको अनुगमन गर्ने, फिक्स प्रकाशित गर्नु अघि चुहावटबाट बच्न कमजोरीहरू फिक्स गर्दा Git को सही रूपमा प्रयोग गर्ने, रिपोर्टहरूमा प्रतिक्रिया दिने प्रक्रियाहरू परिभाषित गर्ने जस्ता मुद्दाहरूलाई सम्बोधन गर्दछ। सुरक्षामा समस्याहरू, सुरक्षा परीक्षण प्रणालीहरूको कार्यान्वयन, कोड समीक्षा प्रक्रियाहरूको प्रयोग, विज्ञप्तिहरू सिर्जना गर्दा सुरक्षा-सम्बन्धित मापदण्डहरूलाई ध्यानमा राख्दै।

स्रोत: opennet.ru