OpenSSF Scorecard - مقاييس صحة الأمان للمصادر المفتوحة
أنشأنا Scorecard لمساعدة مشرفي المصادر المفتوحة على تحسين أفضل ممارساتهم الأمنية، ولمساعدة مستهلكي المصادر المفتوحة على الحكم على ما إذا كانت تبعياتهم آمنة.
Scorecard هي أداة آلية تقيّم عددًا من الاستدلالات المهمة ("الفحوصات") المرتبطة بأمن البرمجيات، وتمنح كل فحص درجة من 0 إلى 10. يمكنك استخدام هذه الدرجات لفهم المجالات المحددة التي يجب تحسينها من أجل تعزيز الوضع الأمني لمشروعك. يمكنك أيضًا تقييم المخاطر التي تفرضها التبعيات، واتخاذ قرارات مدروسة بشأن قبول هذه المخاطر، أو تقييم حلول بديلة، أو العمل مع المشرفين لإجراء تحسينات.
مصدر الإلهام لشعار Scorecard: "لقد نجحت! كل الدرجات D ... ودرجة A!"
أتمتة التحليل وقرارات الثقة بشأن الوضع الأمني لمشاريع المصادر المفتوحة.
استخدام هذه البيانات لتحسين الوضع الأمني بشكل استباقي للمشاريع الحيوية التي يعتمد عليها العالم.
العمل كأداة قياس للسياسات القائمة
إذا كان مستخدمو البرمجيات مفتوحة المصدر (OSS) يحتاجون إلى سلوكيات معينة من تبعياتهم،
فيمكن استخدام Scorecard لقياس تلك السلوكيات. مع إصدار V5، نرى
النتائج المنظمة (Structured Results) كطريقة للقيام بذلك إذا كانت هناك تحليلات مدعومة.
فبدلاً من الاعتماد على درجة إجمالية من X/10، أو درجة Maintained من
Y/10، قد يرغب مستهلك البرمجيات مفتوحة المصدر في التأكد من أن المستودع الذي يعتمد عليه
ليس مؤرشفًا (وهو ما يغطيه فحص archived). تتبنى مؤسسة OpenSSF
هذا النهج في خط الأساس الأمني الخاص بها للمشاريع.
أن يكون تقريرًا أو متطلبًا نهائيًا يجب على جميع المشاريع اتباعه.
Scorecard ليس المقصود به أن يكون حلاً واحدًا يناسب الجميع. كل خطوة من خطوات إنتاج نتائجنا تخضع لرأي معين: ما الفحوصات التي تُضمَّن أو تُستبعَد، وأهمية كل فحص، وكيفية حساب الدرجات. الفحوصات نفسها هي استدلالية؛ فهناك نتائج إيجابية خاطئة وسلبية خاطئة.
سواء كان ذلك بسبب قابلية التطبيق، أو الجدوى، أو مسألة رأي، فإن ما يُضمَّن أو يُستبعَد من نتائج Scorecard يؤدي إلى الكثير من النقاش. من المستحيل إنشاء Scorecard يرضي الجميع لأن الجماهير المختلفة ستهتم بمجموعات فرعية مختلفة من السلوكيات.
الدرجات الإجمالية على وجه الخصوص لا تخبرك بشيء عن السلوكيات الفردية التي يقوم بها المستودع أو لا يقوم بها. تُجمَّع العديد من درجات الفحوصات في درجة واحدة، وهناك طرق متعددة للوصول إلى نفس الدرجة. تتغير هذه الدرجات مع إضافة استدلالات جديدة أو تحسين الاستدلالات الموجودة.
تم تشغيل Scorecard على آلاف المشاريع لمراقبة وتتبع مقاييس الأمان. من أبرز المشاريع التي تستخدم Scorecard:
لعرض درجات المشاريع التي يفحصها Scorecard بانتظام، انتقل إلى عارض الويب. يمكنك أيضًا استبدال النص النائب (المنصة، والمستخدم/المؤسسة، واسم المستودع) في رابط القالب التالي لإنشاء رابط Scorecard مخصص لمستودع:
https://scorecard.dev/viewer/?uri=<github_or_gitlab>.com/<user_name_or_org>/<repository_name>
على سبيل المثال:
لعرض درجات المشاريع غير المدرجة في عارض الويب، استخدم واجهة سطر أوامر Scorecard.
يفحص Scorecard أكثر من 1.3 مليون مستودع كل أسبوع، من
ossf/scorecard-infra. النتائج
متاحة عبر واجهة REST API. لم تعد مجموعة بيانات BigQuery العامة
متاحة؛ راجع
تغييرات البنية التحتية لـ Scorecard
للتفاصيل.
لإضافة مشروع إلى الفحص الأسبوعي، اتبع التعليمات في
دليل المساهمة الخاص بـ ossf/scorecard-infra.
أسهل طريقة لاستخدام Scorecard على مشاريع GitHub التي تملكها هي باستخدام إجراء GitHub الخاص بـ Scorecard. يعمل الإجراء عند أي تغيير في المستودع ويصدر تنبيهات يمكن للمشرفين عرضها في علامة التبويب الأمان الخاصة بالمستودع. لمزيد من المعلومات، راجع تعليمات التثبيت الخاصة بإجراء GitHub الخاص بـ Scorecard.
للاستعلام عن الدرجات المحسوبة مسبقًا لمشاريع البرمجيات مفتوحة المصدر، استخدم واجهة REST API.
الدرجات المحسوبة من الفحص الأسبوعي الخاص بنا تستبعد فحوصات CI-Tests
وContributors وDependency-Update-Tool بسبب تكاليف API
المرتبطة بتشغيلها على نطاق واسع.
