Cómo garantizar que los paquetes de código abierto no sean míos

Los repositorios de código abierto son fundamentales para ejecutar y escribir aplicaciones modernas, pero cuidado: un descuido podría detonar minas e inyectar puertas traseras y vulnerabilidades en las infraestructuras de software. Los departamentos de TI y los mantenedores de proyectos deben evaluar las capacidades de seguridad de un proyecto para garantizar que no se incorpore código malicioso a la aplicación.

Un nuevo marco de seguridad de la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) y la Fundación de Seguridad de Código Abierto (OpenSSF) recomienda controles como habilitar la autenticación multifactor para los mantenedores de proyectos, capacidades de informes de seguridad de terceros y advertencias para paquetes obsoletos o inseguros. ayudar a reducir la exposición a códigos maliciosos y paquetes disfrazados de código fuente abierto en repositorios públicos.

"La comunidad de código abierto se reúne alrededor de estos abrevaderos para poder recuperar estos paquetes; tienen que ser, desde una perspectiva de infraestructura, seguros", dice Omkhar Arasaratnam, director general de OpenSSF.

Dónde se puede encontrar el código incorrecto

Esos abrevaderos incluyen Github, que aloja programas completos, herramientas de programación o API que conectan software a servicios en línea. Otros repositorios incluyen PyPI, que aloja paquetes de Python; NPM, que es un repositorio de JavaScript; y Maven Central, que es un repositorio de Java. El código escrito en Python, Rust y otros lenguajes de programación descarga bibliotecas desde múltiples repositorios de paquetes.

Los desarrolladores podrían ser engañados involuntariamente para que introduzcan software malicioso que podría inyectarse en los administradores de paquetes, lo que podría dar a los piratas informáticos acceso a los sistemas. Los programas escritos en lenguajes como Python y Rust podrían incluir software malicioso si los desarrolladores se vinculan a la URL incorrecta.

Las directrices de los “Principios para la seguridad de los repositorios de paquetes” se basan en los esfuerzos de seguridad ya adoptados por los repositorios. La Python Software Foundation el año pasado Sigstore adoptado, que garantiza la integridad y procedencia de los paquetes contenidos en su PyPI y otros repositorios.

La seguridad entre los repositorios no es terriblemente mala, pero sí inconsistente, afirma Arasaratnam.

"La primera parte es reunir a algunos de los más populares... e importantes dentro de la comunidad y comenzar a establecer un conjunto de controles que podrían usarse universalmente en todos ellos", dice Arasaratnam.

Las pautas establecidas en los Principios para la seguridad de repositorios de paquetes de CISA podrían prevenir incidentes como la okupación de nombres, donde los desarrolladores podrían descargar paquetes maliciosos al escribir mal el nombre de archivo o la URL.

"Puede iniciar accidentalmente una versión maliciosa del paquete, o podría ser un escenario en el que alguien haya subido un código malicioso bajo la identidad del mantenedor, pero sólo debido a un compromiso de la máquina", dice Arasaratnam.

Es más difícil reconocer paquetes maliciosos

La seguridad de los paquetes en los repositorios dominó una sesión de panel sobre seguridad de código abierto en el Foro de Código Abierto en Finanzas celebrado en noviembre del año pasado en Nueva York.

“Es como en los viejos tiempos de los navegadores, cuando eran inherentemente vulnerables. La gente iba a un sitio web malicioso, se les abría una puerta trasera y luego decían: "Vaya, este no es el sitio", dijo Brian Fox, cofundador y director de tecnología de Sonatype, durante el panel de discusión.

"Estamos rastreando más de 250,000 componentes que eran intencionalmente maliciosos", dijo Fox.

Los departamentos de TI se están enfrentando al código malicioso y a los paquetes disfrazados de código de fuente abierta, dijo Ann Barron-DiCamillo, directora general y jefa global de operaciones cibernéticas de Citi, en la conferencia OSFF hace unos meses.

“Hablando de paquetes maliciosos durante el último año, hemos visto un aumento del doble respecto a años anteriores. Esto se está convirtiendo en una realidad asociada con nuestra comunidad de desarrollo”, dijo Barron-DiCamillo.

• Distribución de relaciones públicas y contenido potenciado por SEO. Consiga amplificado hoy.
• PlatoData.Network Vertical Generativo Ai. Empodérate. Accede Aquí.
• PlatoAiStream. Inteligencia Web3. Conocimiento amplificado. Accede Aquí.
• PlatoESG. Carbón, tecnología limpia, Energía, Ambiente, Solar, Gestión de residuos. Accede Aquí.
• PlatoSalud. Inteligencia en Biotecnología y Ensayos Clínicos. Accede Aquí.
• Fuente: https://www.darkreading.com/application-security/untitled