AuraBorealis : Savez-vous ce que contiennent vos paquets Python ?

À propos

AuraBorealis est une application web permettant de visualiser le code anormal et potentiellement malveillant dans les registres de paquets Python. Elle utilise les données d'audit de sécurité produites en scannant le Python Package Index (PyPI) via Aura, une analyse statique conçue pour l'audit de sécurité à grande échelle des paquets Python. L'outil actuel est une preuve de concept et inclut certaines données en direct d'Aura, ainsi que des données factices à des fins de démonstration.

Les fonctionnalités actuelles incluent :

• Scanner l'ensemble du registre de paquets Python pour :

  • Lister les paquets avec le plus grand nombre d'avertissements de sécurité, triés par type d'avertissement Aura
  • Lister les paquets triés par le nombre total et unique d'avertissements
  • Lister les paquets par leur score de sévérité global

• Afficher les avertissements de sécurité pour un paquet individuel, triés par criticité

• Visualiser les numéros de ligne et les lignes de code dans les fichiers générant des avertissements de sécurité pour un paquet spécifique

• Comparer deux paquets pour les avertissements de sécurité

Instructions

Activez votre VPN (chez IQT)

Clonez le dépôt.

git clone https://github.com/IQTLabs/AuraBorealisApp.git

Accédez au répertoire aura-borealis-flask-app.

cd aura-borealis-flask-app

Installez les dépendances.

pip install -r requirements.txt

Exécutez l'application.

python app.py

Accédez à l'URL http://0.0.0.0:7000/ via un navigateur.

Feuille de route des fonctionnalités

• Comparer un paquet à un profil de référence de paquets ayant un objectif similaire pour les avertissements de sécurité
• Comparer différentes versions du même paquet pour les avertissements de sécurité
• Lister les paquets ayant des changements dans leurs avertissements et/ou leur score de sévérité entre deux dates
• Capacité à scanner un paquet/registre interne qui n'est pas public sur PyPI
• Afficher une analyse des permissions (ce paquet établit-il une connexion réseau ? Ce paquet nécessite-t-il des permissions de bibliothèque au niveau du système d'exploitation ?)

Coordonnées

[email protected] (John Speed Meyers, IQT Labs, responsable du projet Secure Code Reuse).

Le développeur principal et créateur d'Aura est Martin Carnogusky de sourcecode.ai.

Travaux connexes

• Article de blog d'IQT sur la réutilisation sécurisée de code
• Articles de blog d'IQT sur le typosquatting et la prévention du typosquatting via pypi-scan
• Article USENIX sur "Counting Broken Links: A Quant's View of Software Supply Chain Security"
• Jeu de données open source d'IQT sur les compromissions connues de la chaîne d'approvisionnement logicielle