开源安全如何落地？OpenSSF发布多份生命周期安全指南( 二 ) _开源中国

已有评估标准和方法实施方面，建议：为开源项目获得一个“OpenSSF最佳实践徽章”；提高项目的“OpenSSF记分卡”得分(如果是GitHub上的OSS)；采用了CNCF《软件供应链最佳实践指南》；实施了ASVS并遵循相关内容；采用了SAFECode《安全软件开发基本实践》。
漏洞披露环节：
《安全研究人员与开源软件项目协同漏洞披露(CVD)指南》

该指南是由OpenSSF的漏洞披露工作组和个人贡献者共同完成的，旨在将安全缺陷负责任地报告给软件维护人员，以评估并修复它们，同时通知下游消费者。
该指南是一组能够为漏洞发现者在CVD之前、期间和之后提供高层次选择视角的指导方针。
在披露之前，指南建议：(1) 了解项目处理漏洞的方式，即安全策略，包括电子邮件、问题跟踪器等漏洞报告途径，漏洞报告奖励和保密条款等；(2) 编写便于理解和披露的报告；(3) 提供有用的信息，包含足够的漏洞细节，如发现的问题、易受攻击的版本、发现漏洞的步骤、源码中易受攻击的行号、被利用的危害、建议的补救措施等。
披露时，指南建议：(1) 尽早声明关于漏洞披露的目标和期望，以便各方了解约定的边界；(2) 披露选择项，如下表所示，建议每一项应由安全研究人员和项目共同完成。
披露选项
描述
示例场景
OpenSSF首选
不披露

发现者自己保留信息，不与维护者、公众共享或私下与他人共享
公司情况
协同的(Coordinated)
从漏洞发现者收集信息，协同利益相关者之间的信息共享，并向各利益相关者披露软件漏洞的存在及其缓解措施，包括公众
√
限制的(Limited)
公开披露漏洞的部分信息，但私自保留部分信息(如不发布PoC)
保密协议(NDA)、可信合作伙伴等
√

完全的(Full)
公布漏洞的全部细节(研究、结果和某些情况下的PoC)
在第三方平台上完全披露
√
0day
不为钱/完全披露：研究人员有时不希望以此获利，并完全披露漏洞和PoC，这使得产品受到影响，直至漏洞被修复
出售：一般来说是盈利性的信息安全软件，通常意味着研究人员为了赏金而售卖未披露的漏洞
此外，指南还为解决CVD的常见挑战，如项目维护者不认为报告的是安全问题等提供了建议。
包管理环节：
《NPM最佳实践指南》
根据奇安信代码安全实验室《2022中国软件供应链安全分析报告》公布的数据，截止2021年底，NPM中开源项目的数量达1892984个，占主流开源软件包生态系统开源项目总数的43.1%，NPM以绝对优势成为开源项目数量最多的开源包生态系统。
该指南旨在成为一份介绍在使用NPM的包管理器时安全供应链最佳实践的全面文档，是对官方NPM文档的补充。指南包括CI配置、依赖管理、发布和私有包4个方面的最佳实践内容，其中依赖管理是主要部分，依赖管理的核心内容如下表所示。
方面
应解决问题
具体方法或建议
引入
研究依赖项的来源、可信性和安全性
关注误植域名攻击；根据文档确定项目的包名；了解传递依赖的安全情况；了解项目依赖中的存在漏洞的情况

以上关于本文的内容，仅作参考！温馨提示：如遇专业性较强的问题（如：疾病、健康、理财等），还请咨询专业人士给予相关指导!

「辽宁龙网」www.liaoninglong.com小编还为您精选了以下内容，希望对您有所帮助：