Github Security Lab की घोषणा: सभी कोड को एक साथ सुरक्षित करना

खुले स्रोत सॉफ़्टवेयर की सुरक्षा सुनिश्चित करने के लिए हम सभी की सामूहिक जिम्मेदारी है - हममें से कोई भी इसे अकेले नहीं कर सकता है। आज Github Universe में, हमने Github Security Lab की घोषणा की। उद्योग के आसपास की कंपनियों के साथ सुरक्षा शोधकर्ताओं के लिए एक जगह है जो हमारे विश्वास को साझा करते हैं कि खुले स्रोत की सुरक्षा सभी के लिए महत्वपूर्ण है।

हमें शुरुआती साथी मिले जो इस लक्ष्य में योगदान करते हैं। साथ में, हम खुले स्रोत पारिस्थितिकी तंत्र की सुरक्षा में मदद करने के लिए उपकरण, संसाधन, पुरस्कार और हजारों घंटे की सुरक्षा अनुसंधान प्रदान करते हैं।

आज की घोषणा के एक हिस्से के रूप में, GitHub Security Lab किसी ऐसे व्यक्ति के लिए स्वतंत्र रूप से CodeQL उपलब्ध कराता है, जिसे ओपन सोर्स कमजोरियां मिल सकती हैं। कोडक्यूल एक ऐसा उपकरण है जिसका उपयोग दुनिया भर के कई शोध समूह सिमेंटिक कोड विश्लेषण करने के लिए करते हैं, और हमने कुछ लोकप्रिय ओपन सोर्स प्रोजेक्ट्स में 100 से अधिक पंजीकृत सीवीई (कॉमन वल्नरेबिलिटीज़ और एक्सपोज़र) खोजने के लिए इसका इस्तेमाल किया।

हम GitHub एडवाइजरी डेटाबेस भी लॉन्च कर रहे हैं, जो GitHub पर बनाया गया एक सार्वजनिक रूप से सुलभ सिफारिश डेटाबेस है, और GitHub निर्भरता ग्राफ द्वारा ट्रैक किए गए पैकेजों के लिए अतिरिक्त डेटा मैप किया गया है।

सुरक्षा के लिए GitHub का दृष्टिकोण खुले स्रोत परियोजनाओं के पूरे सुरक्षा जीवन चक्र को फैलाता है। GitHub Security Lab खुले स्रोत परियोजनाओं में कमजोरियों की पहचान करने और रिपोर्ट करने में मदद करेगी, जबकि अनुचर और डेवलपर्स पैच बनाने के लिए GitHub का उपयोग करते हैं, एक सुलझी हुई भेद्यता के साथ निर्भर परियोजनाओं के प्रकटीकरण और अद्यतन का समन्वय करते हैं।

जीथब सुरक्षा लैब

GitHub Security Lab का मिशन दुनिया भर में कोड की सुरक्षा के लिए वैश्विक शोधकर्ताओं के सुरक्षा समुदाय को प्रेरित और सक्षम बनाना है। हमारी टीम एक उदाहरण स्थापित करेगी, जो महत्वपूर्ण खुले स्रोत परियोजनाओं में कमजोरियों को खोजने और रिपोर्ट करने के लिए चल रहे संसाधनों को समर्पित करती है। कोमदना ने पहले ही भेद्यता का पता लगाने के लिए 100 से अधिक सीवीई जारी किए हैं।

दुनिया में ओपन सोर्स प्रोजेक्ट्स को सुरक्षित करना कोई आसान काम नहीं है। सबसे पहले, स्केल: जावास्क्रिप्ट के एक पारिस्थितिकी तंत्र में एक लाख से अधिक ओपन सोर्स पैकेज होते हैं। इसके अलावा, सुरक्षा विशेषज्ञों की कमी है, एक विशेषज्ञ को लगभग 500 डेवलपर्स। अंत में, समन्वय है: दुनिया में सुरक्षा विशेषज्ञ हजारों कंपनियों में काम करते हैं। GitHub Security lab और CodeQL इसकी मदद करेगा।

इस काम में, हम उन कंपनियों से जुड़े हैं जो ओपन सोर्स प्रोजेक्ट्स में कमजोरियों को खोजने और रिपोर्ट करने के लिए अपना समय और अनुभव दान करती हैं। प्रत्येक ने अपने तरीके से योगदान देने का वादा किया, और हम आशा करते हैं कि भविष्य में अन्य लोग हमारे साथ जुड़ेंगे।

• F5
• गूगल
• HackerOne
• इंटेल
• OIActive
• जेपी मॉर्गन
• Linkedin
• माइक्रोसॉफ्ट
• मोज़िला
• Ncc समूह
• ओरेकल
• बिट्स का निशान
• उबेर
• VMWare

अपनी क्षमताओं का विस्तार करने के लिए, हम अपने सहयोगी कोडसेल कोड विश्लेषण इंजन को मुक्त स्रोत परियोजनाओं में उपयोग के लिए स्वतंत्र बनाते हैं। CodeQL आपको कोड को क्वेरी करने की अनुमति देता है जैसे कि यह डेटा था। यदि आप एक कोडिंग त्रुटि जानते हैं, जो एक भेद्यता का कारण बनती है, तो आप इस कोड के सभी वेरिएंट को खोजने के लिए एक क्वेरी लिख सकते हैं, पूरी तरह से कमजोरियों को हमेशा के लिए नष्ट कर सकते हैं। देखें कि कैसे शुरू करें CodeQL के साथ ।

यदि आप एक सुरक्षा शोधकर्ता हैं या सुरक्षा दल में काम करते हैं, तो हमें आपकी सहायता की आवश्यकता है। दुनिया में खुले स्रोत परियोजनाओं को सुरक्षित रखने के लिए पूरे समुदाय के काम की आवश्यकता होगी। GitHub Security Lab घटनाओं की मेजबानी करेगा और सभी को भाग लेने में मदद करने के लिए सर्वोत्तम प्रथाओं को साझा करेगा। अधिक जानकारी के लिए ट्विटर पर GHSecurityLab का अनुसरण करें।

खुले स्रोत में सुरक्षा वर्कफ़्लो में सुधार

जैसा कि सुरक्षा दुनिया के शोधकर्ता अधिक से अधिक कमजोरियों की खोज करते हैं, उपयोगकर्ताओं और उनके उपयोगकर्ताओं को ठीक करने के लिए अधिक परिष्कृत उपकरणों की आवश्यकता होती है।

आज, नई कमजोरियों को ठीक करने की प्रक्रिया अक्सर अस्थायी होती है। ओपन सोर्स प्रोजेक्ट्स में 40% नई कमजोरियां CVE में घोषित होने पर पहचानकर्ता नहीं होती हैं, यानी वे किसी भी सार्वजनिक डेटाबेस में शामिल नहीं होती हैं। डेवलपर्स को सूचित किए जाने के 30 दिनों के बाद 70% महत्वपूर्ण भेद्यताएं अनसुलझे हैं।

हम इसे ठीक कर रहे हैं। रखरखाव और डेवलपर्स अब GitHub पर सीधे एक साथ काम कर सकते हैं ताकि यह सुनिश्चित हो सके कि नई कमजोरियों का खुलासा केवल तभी होता है जब अनुरक्षक तैयार होते हैं, और डेवलपर्स जल्दी और आसानी से एक निश्चित संस्करण में अपडेट कर सकते हैं।

Github सुरक्षा सलाह

सुरक्षा युक्तियों के लिए धन्यवाद, रखरखावकर्ता निजी अंतरिक्ष में फिक्स पर सुरक्षा शोधकर्ताओं के साथ काम कर सकते हैं, गीथहब से सीधे सीवीई के लिए आवेदन कर सकते हैं, और संरचित भेद्यता जानकारी प्रदान कर सकते हैं। फिर, जब वे सुरक्षा सिफारिशों को प्रकाशित करने के लिए तैयार होंगे, तो GitHub प्रभावित परियोजनाओं पर अलर्ट भेजेगा।

स्वचालित सुरक्षा अद्यतन

कमजोर निर्भरता के बारे में सूचित करना उपयोगी है, लेकिन एक फिक्स के साथ पुल पुल अनुरोध प्राप्त करना और भी बेहतर है। डेवलपर्स जल्दी से नई कमजोरियों का जवाब देने में मदद करने के लिए, GitHub स्वचालित सुरक्षा अपडेट - पुल अनुरोध बनाता है, जो निश्चित संस्करण के लिए असुरक्षित निर्भरता को अपडेट करता है।



सिस्टम के लिए स्वचालित सुरक्षा अपडेट GitHub सैटेलाइट 2019 पर बीटा में लॉन्च किए गए थे और अब ज्यादातर सक्रिय अलर्ट के साथ प्रत्येक सक्रिय रिपॉजिटरी के लिए उपलब्ध और तैनात किए गए हैं।

टोकन स्कैन

सबसे आम गलतियों में से एक परियोजना में टोकन या क्रेडेंशियल्स का हार्डकोड है। GitHub को एक कमिट भेजने के बाद, या प्रोजेक्ट को सार्वजनिक करने के बाद, हम इसे 20 अलग-अलग क्लाउड प्रदाताओं के प्रारूपों के लिए स्कैन करते हैं। जब हमें कोई मैच मिलता है, तो हम प्रदाताओं को सूचित करते हैं और वे कार्रवाई करते हैं, आमतौर पर टोकन रद्द करके और प्रभावित उपयोगकर्ताओं को सूचित करते हैं। और आज हमने चार नए भागीदारों की घोषणा की: GoCardless, HashiCorp, Postman and Tencent।

Github सलाहकार डेटाबेस

हमने वे सभी बदलाव किए जो कि GitHub सुरक्षा युक्तियों, साथ ही अतिरिक्त डेटा में बनाए गए हैं, और GitHub निर्भरता ग्राफ द्वारा मॉनिटर किए गए पैकेज पर मैप किया गया है, जो मुफ्त में उपलब्ध है। अपने ब्राउज़र में नए GitHub सलाहकार डेटाबेस का अन्वेषण करें, टिप्पणियों में CVE ID के साथ पोस्ट के लिए सीधे लिंक बनाएं या सुरक्षा सलाहकार API समापन बिंदु का उपयोग करके डेटा को प्रोग्रामेटिक रूप से एक्सेस करें।