Beoordeling van bibliotheken die bijzondere beveiligingscontrole vereisen

Opgericht door de Linux Foundation Core Infrastructure Initiative, waarbij toonaangevende bedrijven hun krachten hebben gebundeld om ondersteuning te bieden aan open projecten die betrokken zijn bij cruciale gebieden van de computerindustrie, uitgevoerd een tweede onderzoek in het kader van het programma Census, gericht op het identificeren van open projecten die prioritaire beveiligingsaudits nodig hebben.

Het tweede onderzoek richt zich op de analyse van gedeelde open code die impliciet wordt gebruikt in verschillende bedrijfsprojecten als afhankelijkheden die vanuit externe repositories worden gedownload. Kwetsbaarheden en compromittering van ontwikkelaars van externe componenten die in applicaties worden gebruikt (supply chain), kunnen al het werk aan de beveiliging van het hoofdproduct tenietdoen. Uit het onderzoek is bepaald de top 10 van de meest gebruikte pakketten op JavaScript en Java, waarvan de beveiliging en het onderhoud speciale aandacht vereisen.

JavaScript-bibliotheken uit de npm-repository:

• async (196 duizend regels code, 11 auteurs, 7 committers, 11 open problemen);
• inherits (3.8 duizend regels code, 3 auteurs, 1 committer, 3 open problemen);
• isarray (317 regels code, 3 auteurs, 3 committers, 4 open problemen);
• kind-of (2 duizend regels code, 11 auteurs, 11 committers, 3 open problemen);
• lodash (42 duizend regels code, 28 auteurs, 2 committers, 30 open problemen);
• minimist (1.2 duizend regels code, 14 auteurs, 6 committers, 38 open problemen);
• natives (3 duizend regels code, 2 auteurs, 1 committer, geen open problemen);
• qs (5.4 duizend regels code, 5 auteurs, 2 committers, 41 open problemen);
• readable-stream (28 duizend regels code, 10 auteurs, 3 committers, 21 open problemen);
• string_decoder (4.2 duizend regels code, 4 auteurs, 3 committers, 2 open problemen).

Java-bibliotheken uit de Maven-repositories:

• jackson-core (74 duizend regels code, 7 auteurs, 6 committers, 40 open problemen);
• jackson-databind (74 duizend regels code, 23 auteurs, 2 committers, 363 open problemen);
• guava.git, Google-bibliotheken voor Java (1 miljoen regels code, 83 auteurs, 3 committers, 620 open problemen);
• commons-codec (51 duizend regels code, 3 auteurs, 3 committers, 29 open problemen);
• commons-io (73 duizend regels code, 10 auteurs, 6 committers, 148 open problemen);
• httpcomponents-client (121 duizend regels code, 16 auteurs, 8 commiteurs, 47 open problemen);
• httpcomponents-core (131 duizend regels code, 15 auteurs, 4 commiteurs, 7 open problemen);
• logback (154 duizend regels code, 1 auteur, 2 commiteurs, 799 open problemen);
• commons-lang (168 duizend regels code, 28 auteurs, 17 commiteurs, 163 open problemen);
• slf4j (38 duizend regels code, 4 auteurs, 4 commiteurs, 189 open problemen);

Het rapport behandelt ook de vraag naar de standaardisatie van de naamgevingsschemes van externe componenten, het beschermen van ontwikkelaarsaccounts en het onderhouden van verouderde versies na de release van nieuwe significante versies. Daarnaast heeft de Linux Foundation gepubliceerd document met praktische aanbevelingen voor het organiseren van een veilig ontwikkelingsproces voor open projecten.

Het document behandelt de verdeling van rollen binnen het project, het creëren van teams die verantwoordelijk zijn voor veiligheid, het vaststellen van een veiligheidsbeleid, het volgen van de bevoegdheden van projectdeelnemers, het goed gebruik van Git bij het corrigeren van kwetsbaarheden om uitlekken voor de publicatie van de oplossing te voorkomen, het vaststellen van processen voor het reageren op meldingen van veiligheidsproblemen, het implementeren van systemen voor veiligheidstests, het toepassen van code reviewprocedures, en het in overweging nemen van veiligheidscriteria bij het opstellen van releases.

Bron: opennet.ru