オープンソース パッケージが地雷ではないことを確認する方法

オープンソース リポジトリは、最新のアプリケーションを実行および作成するために不可欠ですが、不注意によって地雷が爆発したり、ソフトウェア インフラストラクチャにバックドアや脆弱性が挿入される可能性があることに注意してください。 IT 部門とプロジェクトの管理者は、プロジェクトのセキュリティ機能を評価して、悪意のあるコードがアプリケーションに組み込まれていないことを確認する必要があります。

サイバーセキュリティ・インフラストラクチャー・セキュリティー庁 (CISA) とオープンソース・セキュリティー財団 (OpenSSF) による新しいセキュリティー・フレームワークは、プロジェクト管理者に対する多要素認証の有効化、サードパーティのセキュリティー・レポート機能、古くなったパッケージや安全でないパッケージに対する警告などの制御を推奨しています。悪意のあるコードや、パブリック リポジトリ上のオープンソース コードを装ったパッケージへの露出を減らすのに役立ちます。

「オープンソース コミュニティは、これらのパッケージを取得するために、これらの水飲み場に集まります。インフラストラクチャの観点から、パッケージは安全でなければなりません」と OpenSSF のゼネラル マネージャー、Omkhar Arasaratnam は述べています。

不正なコードが見つかる場所

これらの水飲み場には、プログラム全体、プログラミング ツール、またはソフトウェアをオンライン サービスに接続する API をホストする Github が含まれます。他のリポジトリには、Python パッケージをホストする PyPI が含まれます。 NPM: JavaScript リポジトリです。 Maven Central は Java リポジトリです。 Python、Rust、その他のプログラミング言語で書かれたコードは、複数のパッケージ リポジトリからライブラリをダウンロードします。

開発者が意図せずだまされて悪意のあるソフトウェアを取り込まれてパッケージ マネージャーに挿入され、ハッカーがシステムにアクセスできるようになる可能性があります。 Python や Rust などの言語で書かれたプログラムには、開発者が間違った URL にリンクすると、悪意のあるソフトウェアが組み込まれる可能性があります。

「パッケージ リポジトリ セキュリティの原則」のガイドラインは、リポジトリですでに採用されているセキュリティへの取り組みに基づいています。 Python ソフトウェア財団は昨年 シグストアを採用これにより、PyPI およびその他のリポジトリ内に含まれるパッケージの整合性と出所が保証されます。

リポジトリ間のセキュリティはひどく悪いわけではないが、一貫性がありません、と Arasaratnam 氏は言います。

「最初の部分は、コミュニティ内でより人気のある重要なものをいくつか集めて、コミュニティ全体で普遍的に使用できる一連のコントロールの確立を開始することです」とアラサラトナム氏は言います。

CISA のパッケージ リポジトリ セキュリティの原則に定められたガイドラインは、開発者が間違ったファイル名または URL を入力することによって悪意のあるパッケージがダウンロードされる可能性があるネームスクワッティングなどのインシデントを防ぐことができます。

「誤って悪意のあるバージョンのパッケージを起動してしまう可能性もあります。あるいは、誰かが管理者の身元を偽って悪意のあるコードをアップロードしたが、その原因は単にマシンの侵害によるものである可能性があります」と Arasaratnam 氏は言います。

悪意のあるパッケージの認識が困難になる

リポジトリ上のパッケージのセキュリティは、昨年 11 月にニューヨークで開催された Open Source in Finance Forum のオープンソース セキュリティに関するパネル セッションの大半を占めました。

「ブラウザが本質的に脆弱だった昔のようなものです。 Sonatype の共同創設者兼最高技術責任者であるブライアン・フォックス氏は、パネルディスカッション中に、人々は悪意のある Web サイトにアクセスし、バックドアがドロップされ、「おっと、ここはサイトではない」ということになるだろうと語った。

「私たちは意図的に悪意を持った250,000万以上のコンポーネントを追跡している」とフォックス氏は語った。

数か月前のOSFFカンファレンスで、IT部門はオープンソースコードを装った悪意のあるコードやパッケージに対処しつつあると、シティのマネジングディレクター兼サイバーオペレーショングローバル責任者のアン・バロン・ディカミロ氏が語った。

「昨年の悪意のあるパッケージについて言えば、前年比で 2 倍の増加が見られました。これは私たちの開発コミュニティに関連して現実になりつつあります」とバロン・ディカミロ氏は語った。

• SEO を活用したコンテンツと PR 配信。 今日増幅されます。
• PlatoData.Network 垂直生成 Ai。 自分自身に力を与えましょう。 こちらからアクセスしてください。
• プラトアイストリーム。 Web3 インテリジェンス。 知識増幅。 こちらからアクセスしてください。
• プラトンESG。 カーボン、 クリーンテック、 エネルギー、 環境、 太陽、 廃棄物管理。 こちらからアクセスしてください。
• プラトンヘルス。 バイオテクノロジーと臨床試験のインテリジェンス。 こちらからアクセスしてください。
• 情報源： https://www.darkreading.com/application-security/untitled