Hodnotenie knižníc, ktoré si vyžadujú osobitnú kontrolu bezpečnosti

Založený fond Linux Foundation Core Infrastructure Initiative, v rámci ktorého popredné korporácie spojili svoje sily na podporu otvorených projektov zapojených do kľúčových oblastí počítačového priemyslu, uskutočnil druhé skúmanie v rámci programu Census, zameranú na identifikáciu otvorených projektov, ktoré potrebujú prioritný audit bezpečnosti.

Druhé skúmanie je orientované na analýzu zdieľaného otvoreného kódu, implicitne použitú v rôznych podnikových projektoch vo forme závislostí, sťahovaných z externých repozitárov. Zraniteľnosti a kompromitácie vývojárov externých komponentov zapojených do aplikácií (dodávateľský reťazec) môžu negovať všetky snahy o zvyšovanie ochrany hlavného produktu. Výsledky výskumu ukázali určili 10 najčastejšie používaných balíkov na JavaScript a Java, ktorých bezpečnosť a aktivita údržby si vyžaduje osobitnú pozornosť.

JavaScriptové knižnice z repozitára npm:

• async (196 tisíc riadkov kódu, 11 autorov, 7, ktorí prispievali, 11 otvorených problémov);
• inherits (3.8 tisíc riadkov kódu, 3 autori, 1 prispievateľ, 3 otvorené problémy);
• isarray (317 riadkov kódu, 3 autori, 3 prispievatelia, 4 otvorené problémy);
• kind-of (2 tisíce riadkov kódu, 11 autorov, 11 prispievateľov, 3 otvorené problémy);
• lodash (42 tisíc riadkov kódu, 28 autorov, 2 prispievatelia, 30 otvorených problémov);
• minimist (1.2 tisíce riadkov kódu, 14 autorov, 6 prispievateľov, 38 otvorených problémov);
• natives (3 tisíce riadkov kódu, 2 autori, 1 prispievateľ, žiadne otvorené problémy);
• qs (5.4 tisíc riadkov kódu, 5 autorov, 2 prispievatelia, 41 otvorených problémov);
• readable-stream (28 tisíc riadkov kódu, 10 autorov, 3 prispievatelia, 21 otvorených problémov);
• string_decoder (4.2 tisíc riadkov kódu, 4 autorov, 3 prispievatelia, 2 otvorené problémy).

Java knižnice z repozitárov Maven:

• jackson-core (74 tisíc riadkov kódu, 7 autorov, 6 prispievatelia, 40 otvorených problémov);
• jackson-databind (74 tisíc riadkov kódu, 23 autorov, 2 prispievatelia, 363 otvorených problémov);
• guava.git, knižnice Google pre Java (1 milión riadkov kódu, 83 autorov, 3 prispievatelia, 620 otvorených problémov);
• commons-codec (51 tisíc riadkov kódu, 3 autori, 3 prispievatelia, 29 otvorených problémov);
• commons-io (73 tisíc riadkov kódu, 10 autorov, 6 prispievatelia, 148 otvorených problémov);
• httpcomponents-client (121 tisíc řádků kódu, 16 autorů, 8 přispěvatelů, 47 nevyřešených problémů);
• httpcomponents-core (131 tisíc řádků kódu, 15 autorů, 4 přispěvatelé, 7 nevyřešených problémů);
• logback (154 tisíce řádků kódu, 1 autor, 2 přispěvatelé, 799 nevyřešených problémů);
• commons-lang (168 tisíc řádků kódu, 28 autorů, 17 přispěvatelů, 163 nevyřešených problémů);
• slf4j (38 tisíc řádků kódu, 4 autoři, 4 přispěvatelé, 189 nevyřešených problémů);

Zpráva také zkoumá otázky standardizace schématu pojmenování externích komponentů, ochrany účtů vývojářů a udržování zastaralých verzí po vzniku nových významných vydání. Dále byla organizací Linux Foundation publikována dokument s praktickými doporučeními pro vytváření bezpečného procesu vývoje otevřených projektů.

Dokument se zabývá otázkami rozdělení rolí v projektu, vytváření týmů odpovědných za bezpečnost, definováním bezpečnostní politiky, sledováním oprávnění, která mají účastníci projektu, správným použitím Gitu při opravě zranitelností, aby se předešlo únikům do doby vydání opravy, definovanými procesy reakce na hlášení o problémech s bezpečností, zaváděním systémů testování bezpečnosti, aplikací kodexu revizí a zohledněním bezpečnostních kritérií při vytváření vydání.

Zdroj: opennet.ru