Open-Source-Projekt-Kritikalitätsscore (Beta)

Dieses Projekt wird von Mitgliedern der Securing Critical Projects WG gepflegt.

Ziele

1. Einen Kritikalitäts-Score für jedes Open-Source-Projekt generieren.

2. Eine Liste kritischer Projekte erstellen, von denen die Open-Source-Community abhängt.

3. Diese Daten nutzen, um die Sicherheitslage dieser kritischen Projekte proaktiv zu verbessern.

Kritikalitäts-Score

Der Kritikalitäts-Score eines Projekts definiert den Einfluss und die Bedeutung eines Projekts. Er ist eine Zahl zwischen 0 (am wenigsten kritisch) und 1 (am kritischsten). Er basiert auf dem folgenden Algorithmus von Rob Pike:

Wir verwenden die folgenden Standardparameter, um den Kritikalitäts-Score für ein Open-Source-Projekt abzuleiten:

HINWEIS:

• Sie können diese Standardwerte zur Laufzeit überschreiben, wie unten beschrieben.
• Wir suchen nach Ideen aus der Community, um diese Parameter zu verbessern.
• Es wird immer Ausnahmen von den einzelnen Begründungsregeln geben.

Verwendung

$ go install github.com/ossf/criticality_score/v2/cmd/criticality_score@latest

$ export GITHUB_TOKEN=...         # requires a GitHub token to work
$ gcloud auth login --update-adc  # optional, add -depsdev-disable to skip

$ criticality_score -gcp-project-id=[your projectID] https://github.com/kubernetes/kubernetes
repo.name: kubernetes
repo.url: https://github.com/kubernetes/kubernetes
repo.language: Go
repo.license: Apache License 2.0
legacy.created_since: 87
legacy.updated_since: 0
legacy.contributor_count: 3999
legacy.watchers_count: 79583
legacy.org_count: 5
legacy.commit_frequency: 97.2
legacy.recent_releases_count: 70
legacy.updated_issues_count: 5395
legacy.closed_issues_count: 3062
legacy.comment_frequency: 5.5
legacy.dependents_count: 454393
default_score: 0.99107

Der Score kann geändert werden, indem der Parameter -scoring-config verwendet und eine andere Konfigurationsdatei bereitgestellt wird, die festlegt, wie der Score berechnet wird.

Standardmäßig wird die Konfiguration original_pike.yml verwendet, um den Score zu berechnen. Es können jedoch andere Konfigurationsdateien angegeben werden, um unterschiedliche Scores zu erzeugen. Weitere Informationen finden Sie unter config/scorer.

Sie können gerne eine der Konfigurationen kopieren und die Gewichte und Schwellenwerte an Ihre Bedürfnisse anpassen.

Authentifizierung

Bevor Sie den Kritikalitäts-Score ausführen, müssen Sie:

• Für GitHub-Repositories müssen Sie einen GitHub-Zugriffstoken erstellen und ihn in der Umgebungsvariable GITHUB_AUTH_TOKEN setzen. Dies hilft, die API-Ratenbegrenzungen von GitHub bei nicht authentifizierten Anfragen zu vermeiden.

# For posix platforms, e.g. linux, mac:
export GITHUB_AUTH_TOKEN=<your access token>

# For windows:
set GITHUB_AUTH_TOKEN=<your access token>

Formatierung der Ergebnisse

Derzeit gibt es drei Formate: text, json und csv. Weitere können in Zukunft hinzugefügt werden.

Diese können mit dem Flag -format angegeben werden.

Weitere Befehle

Das Kritikalitäts-Score-Projekt enthält auch weitere Befehle zum Generieren und Arbeiten mit Kritikalitäts-Score-Daten.

• enumerate_github: ein Werkzeug zum präzisen Erfassen einer Menge von GitHub-Repositories mit einer Mindestanzahl an Sternen
• collect_signals: ein Worker zum Sammeln von Rohsignalen in großem Maßstab unter Nutzung der Infrastruktur des Scorecard-Projekts.
• scorer: ein Werkzeug zur Neuberechnung von Kritikalitäts-Scores basierend auf einer eingegebenen CSV-Datei.

Öffentliche Daten

Wenn Sie daran interessiert sind, eine Liste kritischer Projekte mit ihrem Kritikalitäts-Score zu sehen, veröffentlichen wir diese im csv-Format und als BigQuery-Dataset.

Diese Daten werden mit einer Produktionsinstanz des Kritikalitäts-Score-Projekts erzeugt, die in GCP läuft. Details zur Bereitstellung finden Sie im Verzeichnis infra.

HINWEIS: Derzeit werden diese Listen ausschließlich aus Projekten abgeleitet, die auf GitHub gehostet werden. Wir planen, sie in naher Zukunft zu erweitern, um auch Projekte zu berücksichtigen, die auf anderen Quellcodeverwaltungssystemen gehostet werden.

CSV-Daten

Die Daten sind in Google Cloud Storage verfügbar und können heruntergeladen werden über:

• Webbrowser: commondatastorage.googleapis.com/ossf-criticality-score/index.html
• gsutil-Kommandozeilentool: gsutil ls gs://ossf-criticality-score/

BigQuery-Dataset

Diese Daten sind im öffentlichen BigQuery-Dataset verfügbar.

Mit einem GCP-Konto können Sie Abfragen über die Daten ausführen. Hier ist zum Beispiel eine Abfrage, die die 100 wichtigsten Repositories nach Score zurückgibt:

  SELECT repo.url, default_score
    FROM `openssf.criticality_score_cron.criticality-score-v0-latest`
ORDER BY default_score DESC
   LIMIT 100;

Mitwirken

Wenn Sie sich einbringen möchten oder Ideen haben, über die Sie sprechen möchten, besprechen wir dieses Projekt in den Treffen der Securing Critical Projects WG.

Die Termine und Einladungen zu den Treffen finden Sie im Community-Kalender.

Siehe die Dokumentation Mitwirken für Hinweise, wie Sie beitragen können.