Ocena bibliotek wymagających szczególnej weryfikacji bezpieczeństwa

Utworzony przez organizację Linux Foundation fundusz Core Infrastructure Initiative, w ramach którego wiodące korporacje połączyły swoje wysiłki w celu wsparcia otwartych projektów zaangażowanych w kluczowe obszary przemysłu komputerowego, przeprowadził drugie badanie w ramach programu Census, mającego na celu identyfikację otwartych projektów potrzebujących pilnego audytu bezpieczeństwa.

Drugie badanie koncentruje się na analizie wspólnie używanego otwartego kodu, niejawnie stosowanego w różnych projektach korporacyjnych w formie zależności pobieranych z zewnętrznych repozytoriów. Luki w zabezpieczeniach i kompromitacja twórców komponentów zewnętrznych, używanych w aplikacjach (supply chain), mogą zniweczyć wszystkie wysiłki w celu poprawy bezpieczeństwa podstawowego produktu. W wyniku badania stwierdzono 10 najczęściej używanych pakietów w JavaScript i Java, których bezpieczeństwo i aktywność konserwacji wymagają szczególnej uwagi. Biblioteki JavaScript z repozytorium npm:

async

• (196 tysięcy linii kodu, 11 autorów, 7 komiterów, 11 otwartych problemów); inherits
• (3.8 tysiąca linii kodu, 3 autorów, 1 komiter, 3 otwarte problemy); isarray
• (317 linii kodu, 3 autorów, 3 komiterów, 4 otwarte problemy); kind-of
• (2 tysiące linii kodu, 11 autorów, 11 komiterów, 3 otwarte problemy); lodash
• (42 tysiące linii kodu, 28 autorów, 2 komiterów, 30 otwartych problemów); minimist
• (1.2 tysiąca linii kodu, 14 autorów, 6 komiterów, 38 otwartych problemów); natives
• (3 tysiące linii kodu, 2 autorów, 1 komiter, brak otwartych problemów); qs
• (5.4 tysiąca linii kodu, 5 autorów, 2 komiterów, 41 otwarty problem); readable-stream
• (28 tysięcy linii kodu, 10 autorów, 3 komiterów, 21 otwartych problemów); string_decoder
• (4.2 tysiąca linii kodu, 4 autorów, 3 komiterów, 2 otwarte problemy). Biblioteki Java z repozytoriów Maven:

jackson-core

• (74 tysiące linii kodu, 7 autorów, 6 komiterów, 40 otwartych problemów); jackson-databind
• (74 tysiące linii kodu, 23 autorów, 2 komiterów, 363 otwartych problemów); guava.git
• , biblioteki Google dla Java (1 milion linii kodu, 83 autorów, 3 komiterów, 620 otwartych problemów);commons-codec
• (51 tysiąc linii kodu, 3 autorów, 3 komiterów, 29 otwartych problemów); commons-io
• (73 tysiące linii kodu, 10 autorów, 6 komiterów, 148 otwartych problemów); httpcomponents-client
• httpcomponents-client (121 tysięcy linii kodu, 16 autorów, 8 osób wprowadzających zmiany, 47 otwartych problemów);
• httpcomponents-core (131 tysięcy linii kodu, 15 autorów, 4 osoby wprowadzające zmiany, 7 otwartych problemów);
• logback (154 tysiące linii kodu, 1 autor, 2 osoby wprowadzające zmiany, 799 otwartych problemów);
• commons-lang (168 tysięcy linii kodu, 28 autorów, 17 osób wprowadzających zmiany, 163 otwarte problemy);
• slf4j (38 tysięcy linii kodu, 4 autorów, 4 osoby wprowadzające zmiany, 189 otwartych problemów);

W raporcie omówiono również kwestie standaryzacji schematu nazewnictwa zewnętrznych komponentów, ochrony kont deweloperów oraz utrzymywania przestarzałych wersji po wydaniu nowych istotnych wydań. Dodatkowo organizacja Linux Foundation opublikowała dokument z praktycznymi zaleceniami dotyczącymi organizacji bezpiecznego procesu tworzenia projektów open source.

Dokument omawia kwestie rozdziału ról w projekcie, tworzenia zespołów odpowiedzialnych za bezpieczeństwo, określenia polityki bezpieczeństwa, monitorowania uprawnień członków projektu, prawidłowego korzystania z Gita przy naprawianiu luk, aby uniknąć wycieków przed publikacją poprawek, określenia procesów reagowania na zgłoszenia dotyczące bezpieczeństwa, wdrożenia systemów testów bezpieczeństwa, stosowania procedur przeglądu kodu oraz uwzględnienia kryteriów bezpieczeństwa przy przygotowywaniu wydań.

Źródło: opennet.ru