Cơ quan Linux Foundation совместно с Гарвардской лаборатории инноваций в науке подготовила новую редакцию исследования Census III, нацеленного на выявление наиболее широко используемых открытых проектов, нуждающихся в первоочередном аудите безопасности. В ходе исследования проведён анализ совместно используемого открытого кода, неявно применяемого в различных корпоративных проектах в форме зависимостей, загружаемых из внешних репозиториев. Всего было изучено более 12 млн открытых библиотек, задействованных в приложениях, используемых в 10 тысячах различных компаний.
Dựa trên số liệu thống kê thu thập được, danh sách 500 thư viện được sử dụng thường xuyên nhất đã được tổng hợp, tính bảo mật và chất lượng bảo trì cần được đặc biệt chú ý, vì các lỗ hổng và sự xâm phạm của các nhà phát triển phụ thuộc bên thứ ba có thể phủ nhận mọi nỗ lực cải thiện khả năng bảo vệ của thư viện. sản phẩm chính. Tổng cộng có 8 danh sách được cung cấp, nội dung của chúng được xếp hạng tùy thuộc vào các tiêu chí khác nhau, chẳng hạn như phân phối trong kho NPM và sự hiện diện của thông tin phiên bản khi xác định sự phụ thuộc.
Một số kết luận:
- 17% trong số 50 dự án hàng đầu không có trong kho NPM chỉ có một nhà phát triển và 40% có một hoặc hai nhà phát triển đã thực hiện 80% cam kết.
- So với báo cáo năm 2022 trước đó, việc sử dụng các gói để tương tác với dịch vụ đám mây đã tăng lên trong số các gói quan trọng.
- Quá trình di chuyển các dự án từ Python 2 sang Python 3 vẫn tiếp tục.
- Các gói Maven tiếp tục phổ biến và việc sử dụng các gói từ kho PIP (Python), Cargo (Rust) và NuGet (.NET) đang ngày càng tăng.
- Như trước đây, cần phải sử dụng các sơ đồ đặt tên tiêu chuẩn hóa cho các thành phần phần mềm.
- Tầm quan trọng của việc bảo vệ tài khoản nhà phát triển đã tăng lên. Nhiều gói phổ biến nhất được lưu trữ dưới tài khoản của các nhà phát triển cụ thể, kém an toàn hơn tài khoản của các tổ chức được tạo cho dự án.
- 20 gói JavaScript được sử dụng phổ biến nhất từ kho lưu trữ NPM, được các ứng dụng tải xuống mà không bị ràng buộc với phiên bản:
- 20 gói được sử dụng phổ biến nhất từ kho lưu trữ không phải NPM được các ứng dụng tải xuống mà không bị ràng buộc với một phiên bản:
Nguồn: opennet.ru
