오픈 소스 패키지가 내 것이 아닌지 확인하는 방법

오픈 소스 패키지가 내 것이 아닌지 확인하는 방법

타임 스탬프 : 7 년 2024 월 10 일 오후 00:XNUMX
오픈 소스 패키지가 광산이 아닌지 확인하는 방법 PlatoBlockchain Data Intelligence. 수직 검색. 일체 포함.

오픈 소스 저장소는 최신 애플리케이션을 실행하고 작성하는 데 매우 중요합니다. 하지만 부주의로 인해 광산이 폭발하고 소프트웨어 인프라에 백도어와 취약점이 주입될 수 있으므로 주의하세요. IT 부서와 프로젝트 유지관리자는 악성 코드가 애플리케이션에 통합되지 않도록 프로젝트의 보안 기능을 평가해야 합니다.

CISA(사이버 보안 및 인프라 보안 기관) 및 OpenSSF(오픈 소스 보안 재단)의 새로운 보안 프레임워크는 프로젝트 관리자를 위한 다단계 인증, 제3자 보안 보고 기능, 오래되었거나 안전하지 않은 패키지에 대한 경고 등의 제어 기능을 권장합니다. 공개 저장소에서 오픈 소스 코드로 가장하는 악성 코드 및 패키지에 대한 노출을 줄이는 데 도움이 됩니다.

OpenSSF의 총괄 관리자인 Omkhar Arasaratnam은 “오픈 소스 커뮤니티는 이러한 패키지를 가져오기 위해 이러한 우물 주변에 모입니다. 인프라 관점에서 안전해야 합니다.”라고 말합니다.

잘못된 코드를 찾을 수 있는 곳

이러한 급수 구멍에는 소프트웨어를 온라인 서비스에 연결하는 전체 프로그램, 프로그래밍 도구 또는 API를 호스팅하는 Github가 포함됩니다. 다른 리포지토리에는 Python 패키지를 호스팅하는 PyPI가 포함됩니다. JavaScript 저장소인 NPM; 및 Java 저장소인 Maven Central이 있습니다. Python, Rust 및 기타 프로그래밍 언어로 작성된 코드는 여러 패키지 저장소에서 라이브러리를 다운로드합니다.

개발자는 의도치 않게 속아서 패키지 관리자에 삽입될 수 있는 악성 소프트웨어를 끌어들일 수 있으며, 이로 인해 해커가 시스템에 액세스할 수 있게 됩니다. Python 및 Rust와 같은 언어로 작성된 프로그램은 개발자가 잘못된 URL에 연결할 경우 악성 소프트웨어를 포함할 수 있습니다.

"패키지 리포지토리 보안 원칙"의 지침은 리포지토리에서 이미 채택한 보안 노력을 기반으로 합니다. 지난해 파이썬 소프트웨어 재단 시그스토어 채택이는 PyPI 및 기타 저장소에 포함된 패키지의 무결성과 출처를 보장합니다.

Arasaratnam은 저장소 전반의 보안이 심각하게 나쁘지는 않지만 일관성이 없다고 말합니다.

Arasaratnam은 “첫 번째 부분은 커뮤니티 내에서 더 인기 있고 중요한 컨트롤을 모아서 보편적으로 사용할 수 있는 일련의 컨트롤을 구축하는 것입니다.”라고 말했습니다.

CISA의 패키지 리포지토리 보안 원칙에 제시된 지침은 개발자가 잘못된 파일 이름이나 URL을 잘못 입력하여 악성 패키지를 다운로드할 수 있는 네임스쿼팅과 같은 사고를 방지할 수 있습니다.

Arasaratnam은 "실수로 패키지의 악성 버전을 부팅할 수도 있고, 누군가가 관리자의 신원으로 악성 코드를 업로드한 경우일 수도 있지만 이는 단지 시스템 손상 때문일 수 있습니다"라고 말했습니다.

악성 패키지를 인식하기가 더 어렵습니다.

리포지토리의 패키지 보안은 지난해 11월 뉴욕에서 열린 금융 오픈 소스 포럼에서 오픈 소스 보안 패널 세션을 지배했습니다.

“그것은 본질적으로 취약했던 옛날 브라우저와 같습니다. Sonatype의 공동 창립자이자 최고 기술 책임자인 Brian Fox는 패널 토론에서 사람들이 악의적인 웹 사이트로 이동하여 백도어를 설치한 후 '와, 여긴 사이트가 아닙니다'라고 말합니다.

Fox는 “우리는 의도적으로 악의적인 구성 요소를 250,000개 이상 추적하고 있습니다.”라고 말했습니다.

몇 달 전 OSFF 컨퍼런스에서 Citi의 전무이사이자 사이버 운영 글로벌 책임자인 Ann Barron-DiCamillo는 IT 부서가 오픈 소스 코드로 가장한 악성 코드와 패키지를 처리하기 시작했다고 말했습니다.

“작년에 악성 패키지에 관해 이야기하면 전년도에 비해 두 배 증가한 것으로 나타났습니다. 이는 우리 개발 커뮤니티와 관련된 현실이 되고 있습니다.”라고 Barron-DiCamillo는 말했습니다.

타임 스탬프 :

더보기 어두운 독서