AuraBorealis: क्या आप जानते हैं कि आपके Python पैकेज में क्या है?

परिचय

AuraBorealis एक वेब एप्लिकेशन है जो Python पैकेज रजिस्ट्रियों में असामान्य और संभावित रूप से दुर्भावनापूर्ण कोड को विज़ुअलाइज़ करने के लिए है। यह Aura के माध्यम से Python Package Index (PyPI) को स्कैन करके उत्पन्न सुरक्षा ऑडिट डेटा का उपयोग करता है, जो Python पैकेजों के बड़े पैमाने पर सुरक्षा ऑडिटिंग के लिए डिज़ाइन किया गया एक स्थैतिक विश्लेषण है। वर्तमान उपकरण एक प्रूफ-ऑफ-कॉन्सेप्ट है, और इसमें कुछ लाइव Aura डेटा के साथ-साथ डेमो उद्देश्यों के लिए कुछ मॉकअप डेटा भी शामिल है।

वर्तमान सुविधाओं में शामिल हैं:

• सम्पूर्ण python पैकेज रजिस्ट्री को स्कैन करना:

  • सर्वाधिक सुरक्षा चेतावनियों वाले पैकेजों की सूची, Aura चेतावनी प्रकार के अनुसार क्रमबद्ध
  • चेतावनियों की कुल और अद्वितीय संख्या के अनुसार क्रमबद्ध पैकेजों की सूची
  • उनके समग्र गंभीरता स्कोर के अनुसार पैकेजों की सूची

• किसी व्यक्तिगत पैकेज के लिए सुरक्षा चेतावनियाँ प्रदर्शित करना, महत्वपूर्णता के अनुसार क्रमबद्ध

• किसी विशिष्ट पैकेज के लिए सुरक्षा चेतावनियाँ उत्पन्न करने वाली फ़ाइलों में लाइन नंबर और कोड की पंक्तियों को विज़ुअलाइज़ करना

• दो पैकेजों की सुरक्षा चेतावनियों के लिए तुलना करना

निर्देश

अपना VPN चालू करें (IQT पर)

रिपॉजिटरी को क्लोन करें।

git clone https://github.com/IQTLabs/AuraBorealisApp.git

aura-borealis-flask-app निर्देशिका पर जाएँ।

cd aura-borealis-flask-app

निर्भरताएँ स्थापित करें।

pip install -r requirements.txt

ऐप चलाएँ।

python app.py

ब्राउज़र के माध्यम से URL http://0.0.0.0:7000/ पर जाएँ।

सुविधा रोडमैप

• किसी पैकेज की समान उद्देश्य वाले पैकेजों के बेंचमार्क प्रोफ़ाइल से सुरक्षा चेतावनियों के लिए तुलना करें
• एक ही पैकेज के विभिन्न संस्करणों की सुरक्षा चेतावनियों के लिए तुलना करें
• दो तिथियों के बीच उनकी चेतावनियों और/या गंभीरता स्कोर में परिवर्तन वाले पैकेजों की सूची बनाएं
• PyPI पर सार्वजनिक न होने वाले आंतरिक पैकेज/रजिस्ट्री को स्कैन करने की क्षमता
• अनुमतियों का विश्लेषण प्रदर्शित करें (क्या यह पैकेज नेटवर्क कनेक्शन बनाता है? क्या इस पैकेज को OS-स्तर की लाइब्रेरी अनुमतियों की आवश्यकता है?)

संपर्क जानकारी

[email protected] (John Speed Meyers, IQT Labs, सुरक्षित कोड पुन: उपयोग परियोजना प्रमुख)।

Aura के प्रमुख डेवलपर और निर्माता sourcecode.ai के Martin Carnogusky हैं।

संबंधित कार्य

• IQT ब्लॉग पोस्ट: सुरक्षित कोड पुन: उपयोग
• IQT ब्लॉग पोस्ट: टाइपोस्क्वॉटिंग और pypi-scan के माध्यम से टाइपोस्क्वॉटिंग को रोकना
• USENIX लेख: "Counting Broken Links: A Quant's View of Software Supply Chain Security"
• IQT ओपन सोर्स डेटासेट ज्ञात सॉफ्टवेयर सप्लाई चेन समझौतों पर