packman

Un projet de documentation et de suivi visant à rendre les systèmes de gestion de paquets plus sécurisés. Voir issues pour une liste très approximative de quelques-uns des problèmes connexes que nous avons rencontrés.

Tableau des systèmes de gestion de paquets

Niveaux et Contrôles

• Niveau 1 : Le niveau de maturité le plus bas. Considérez-le comme non fiable.
• Niveau 2 : Contrôles de base en place.
• Niveau 3 : Très sécurisé.

Détail sur les Contrôles

Les sections suivantes décrivent chacun des contrôles mentionnés dans le tableau ci-dessus plus en détail.

Authentification forte

L'authentification forte signifie que le système exige :

• Mots de passe complexes (> 10 caractères avec symboles, chiffres, etc. ou > 16 caractères)
• Résistant aux attaques par force brute via des verrouillages
• A des notifications de changement de mot de passe
• Ne prend en charge que des sessions courtes

MFA pour pousser les artefacts

Étant donné que pouvoir pousser du nouveau code vers un gestionnaire de paquets est une fonction puissante, il est important de savoir qu'elle ne peut pas être facilement réalisée en devinant le mot de passe d'un mainteneur. La mise en œuvre du MFA

Contacts et processus de sécurité

Pour satisfaire cette exigence, le gestionnaire de paquets doit avoir un moyen de recevoir des informations de sécurité de la part de la communauté et un processus pour traiter ces retours. Un email publié comme security@, ainsi qu'un mécanisme pour garantir que les retours sont capturés et traités, satisferait à cette exigence.

Les paquets peuvent notifier des problèmes de sécurité

Les paquets peuvent eux-mêmes identifier des problèmes ou être notifiés de problèmes. La plateforme devrait prendre en charge un moyen pour un mainteneur de paquet de signaler une version avec un problème de sécurité et :

• Potentiellement la supprimer de la source du paquet
• La marquer pour mise à jour

Paquets de code liés au code source

Les paquets doivent d'une manière ou d'une autre être liés à une version explicite du code (un tag ?) dans un dépôt public bien connu (bitbucket.org, github.com).

Notifications de mise à jour

Lorsque des paquets sont mis à jour, tous les mainteneurs de ce paquet devraient être notifiés.

Vérification de l'état d'un paquet par le consommateur

Lorsque des problèmes de sécurité sont identifiés dans un paquet, il devrait y avoir un moyen pour un consommateur de les vérifier. Cela pourrait être une commande qui permet au consommateur de vérifier les problèmes connus.

Signature de code

Il devrait être possible pour les développeurs de signer leur code. Lorsqu'ils le font, le gestionnaire de paquets devrait vérifier les signatures et fournir un moyen de les distribuer aux consommateurs du paquet.

Vérification d'intégrité

Le gestionnaire de paquets fournit une méthode pour vérifier l'intégrité du paquet téléchargé.

Aucun - aucune vérification d'intégrité n'est effectuée Partiel - la vérification d'intégrité est effectuée à l'aide d'une méthode faible* Oui - La vérification est effectuée à l'aide d'une méthode suffisamment sécurisée

• nous devons vouloir définir ceci.

Analyse de code statique

La plateforme peut fournir une analyse de code statique pour identifier de manière proactive les problèmes potentiels dans les bibliothèques importantes.

Analyse des dépendances de code

La plateforme peut suivre les vulnérabilités dans les bibliothèques dont dépend le paquet (paquets en amont) et notifier les mainteneurs le cas échéant.

Le gestionnaire de paquets n'exécute pas de code

Le gestionnaire de paquets ne doit pas exécuter de code lors de l'installation du paquet.

Le gestionnaire de paquets ne doit pas collecter d'informations

Le gestionnaire de paquets ne doit pas collecter d'informations sur le projet utilisant la dépendance.

Guide des rôles du projet

Le système de gestion de paquets devrait avoir un guide pour les rôles sur un projet qui devrait inclure un plan de succession et des conditions pour un engagement actif.

Révision des rôles du projet

Les mainteneurs du système de gestion de paquets devraient avoir un processus pour réviser les rôles sur les projets afin de garantir que les mainteneurs sont actifs.

Étiquetage des bibliothèques au niveau du compte

Les consommateurs de bibliothèques devraient pouvoir étiqueter leur intérêt ou approbation pour une bibliothèque spécifique afin de garantir que les builds n'utilisent que les bibliothèques qu'ils ont étiquetées de certaines manières. Par ex. marqué comme revu de code.

Empêche la publication d'identifiants

Le gestionnaire de paquets fournit un certain contrôle pour empêcher que les identifiants d'authentification / token / session ne soient divulgués dans le contenu du paquet.

Aucun - aucun contrôle n'est présent et l'utilisateur doit se protéger lui-même Partiel - insérer un commentaire Oui - les identifiants / tokens sont soit bloqués de la publication, soit révoqués de manière automatisée déclenchée par la publication d'un paquet. Les utilisateurs devraient être notifiés d'une manière ou d'une autre qu'une action a eu lieu.

Références à des projets connexes

• Dependency Track
• Dependency Check
• PURL Spec