Annonce du laboratoire de sécurité Github: Protéger tout le code ensemble

Nous avons tous la responsabilité collective d'assurer la sécurité des logiciels open source - aucun de nous ne peut le faire seul. Aujourd'hui, à Github Universe, nous avons annoncé la création du Github Security Lab . Un lieu pour les chercheurs en sécurité de se réunir avec des entreprises de l'industrie qui partagent notre conviction que la sécurité open source est importante pour tout le monde.

Nous sommes heureux d'avoir des partenaires initiaux qui contribuent à cet objectif. Ensemble, nous fournissons des outils, des ressources, des récompenses et des milliers d'heures de recherche sur la sécurité pour aider à protéger l'écosystème open source.

Dans le cadre de l'annonce d'aujourd'hui, GitHub Security Lab met gratuitement CodeQL à la disposition de tous ceux qui pourraient trouver des vulnérabilités open source. CodeQL est un outil que de nombreux groupes de recherche du monde entier utilisent pour effectuer une analyse de code sémantique, et nous l'avons utilisé nous-mêmes pour trouver plus de 100 CVE (Common Vulnerabilities and Exposures) enregistrés dans certains projets open source populaires.

Nous lançons également la base de données consultative GitHub , une base de données de recommandations accessible au public créée sur GitHub, ainsi que des données supplémentaires mappées aux packages suivis par le graphique de dépendance GitHub.

L'approche de GitHub en matière de sécurité couvre tout le cycle de vie de la sécurité des projets open source. GitHub Security Lab aidera à identifier et signaler les vulnérabilités dans les projets open source, tandis que les responsables et les développeurs utilisent GitHub pour créer des correctifs, coordonner la divulgation et la mise à jour des projets dépendants avec une vulnérabilité résolue.

Laboratoire de sécurité Github

La mission de GitHub Security Lab est d'inspirer et de permettre à la communauté mondiale des chercheurs en sécurité de protéger le code dans le monde entier. Notre équipe donnera l'exemple en consacrant des ressources continues à la recherche et au signalement de vulnérabilités dans des projets open source cruciaux. Komadna a déjà publié plus de 100 CVE pour la détection de vulnérabilité.

Sécuriser des projets open source dans le monde n'est pas une tâche facile. Tout d'abord, l'échelle: un écosystème de JavaScript contient plus d'un million de packages open source. De plus, il y a une pénurie de spécialistes de la sécurité, environ 500 développeurs pour un spécialiste. Enfin, il y a la coordination: des experts en sécurité dans le monde travaillent dans des milliers d'entreprises. Le laboratoire de sécurité GitHub et CodeQL vous y aideront.

Dans ce travail, nous sommes rejoints par des entreprises qui donnent de leur temps et de leur expérience pour trouver et signaler des vulnérabilités dans des projets open source. Chacun s'est engagé à contribuer à sa manière et nous espérons que d'autres se joindront à nous à l'avenir.

• F5
• Google
• Hackerone
• Intel
• OIActive
• JP Morgan
• Linkedin
• Microsoft
• Mozilla
• Groupe CCN
• Oracle
• Sentier de bits
• Uber
• VMware

Pour étendre nos capacités, nous rendons également notre moteur d'analyse de code CodeQL collaboratif gratuit pour une utilisation dans des projets open source. CodeQL vous permet d'interroger le code comme s'il s'agissait de données. Si vous connaissez une erreur de codage qui a conduit à une vulnérabilité, vous pouvez écrire une requête pour trouver toutes les variantes de ce code, détruisant à jamais une classe entière de vulnérabilités. Découvrez comment démarrer avec CodeQL .

Si vous êtes chercheur en sécurité ou travaillez dans une équipe de sécurité, nous avons besoin de votre aide. Sécuriser des projets open source dans le monde nécessitera le travail de toute la communauté. GitHub Security Lab organisera des événements et partagera les meilleures pratiques pour aider tout le monde à participer. Suivez GHSecurityLab sur Twitter pour plus de détails.

Amélioration du flux de travail de sécurité dans l'open source

Alors que les chercheurs du monde de la sécurité découvrent de plus en plus de vulnérabilités, les utilisateurs accompagnants et finaux ont besoin d'outils plus sophistiqués pour les corriger.

Aujourd'hui, le processus de correction de nouvelles vulnérabilités est souvent temporaire. 40% des nouvelles vulnérabilités des projets open source n'ont pas d'identifiant dans CVE lorsqu'elles sont déclarées, c'est-à-dire qu'elles ne sont incluses dans aucune base de données publique. 70% des vulnérabilités critiques restent non résolues 30 jours après la notification aux développeurs.

Nous le réparons. Les responsables et les développeurs peuvent désormais travailler ensemble directement sur GitHub pour garantir que les nouvelles vulnérabilités ne sont divulguées que lorsque les responsables sont prêts, et les développeurs peuvent rapidement et facilement mettre à niveau vers une version fixe.

Avis de sécurité Github

Grâce aux conseils de sécurité, les responsables peuvent travailler avec des chercheurs en sécurité sur des correctifs dans l'espace privé, demander des CVE directement depuis GitHub et fournir des informations structurées sur les vulnérabilités. Puis, lorsqu'ils seront prêts à publier des recommandations de sécurité, GitHub enverra des alertes sur les projets concernés.

Mises à jour de sécurité automatiques

Il est utile d'être informé des dépendances vulnérables, mais il est encore mieux d'obtenir des demandes d'extraction par extraction avec un correctif. Pour aider les développeurs à réagir rapidement aux nouvelles vulnérabilités, GitHub crée des mises à jour de sécurité automatisées - pull request, qui mettent à jour la dépendance vulnérable vers la version fixe.



Des mises à jour de sécurité automatiques pour le système ont été lancées en version bêta sur GitHub Satellite 2019 et sont désormais principalement disponibles et déployées pour chaque référentiel actif avec des alertes de sécurité activées.

Scan de jeton

L'une des erreurs les plus courantes est le code dur des jetons ou des informations d'identification dans le projet. Quelques secondes après l'envoi d'une validation à GitHub ou la mise à disposition du projet au public, nous le scannons pour les formats de 20 fournisseurs de cloud différents. Lorsque nous trouvons une correspondance, nous en informons les fournisseurs et ils prennent des mesures, généralement en annulant les jetons et en avisant les utilisateurs concernés. Et aujourd'hui, nous avons annoncé quatre nouveaux partenaires: GoCardless, HashiCorp, Postman et Tencent.

Base de données consultative Github

Nous avons apporté toutes les modifications que les mainteneurs créent dans les conseils de sécurité GitHub, ainsi que des données supplémentaires, et mappées aux packages surveillés par le graphique de dépendance GitHub, disponible gratuitement. Explorez la nouvelle base de données GitHub Advisory dans votre navigateur, créez des liens directs vers des publications avec des ID CVE dans les commentaires, ou accédez aux données par programmation à l'aide du point de terminaison Security Advisory API .