本文2891字阅读约需9分钟
克日，，，，，微软宣布“清静供应链消耗框架(SecureSupplyChainConsumptionFramework，，，，，简称S2C2F)”1.1版本。 。。。。。 。。该框架已被OpenSSF供应链完整性事情组接纳。 。。。。。 。。至此，，，，，OpenSSF开源软件评价相关的项目和指南已笼罩使用清静、要害性、基础设施清静、误差披露机制等多个方面，，，，，它们宣布出的相关框架流程、指标条目、实践工具等内容对我国的开源软件清静事情有一定的借鉴作用。 。。。。。 。。
一、S2C2FV1.1解读
S2C2F自2019年提出后，，，，，一直作为微软的一项内部建议，，，，，直至此次被OpenSSF接纳，，，，，它专注于开发集成职员对开源软件(OSS)使用的清静。 。。。。。 。。与其他开源软件清静框架或指南相比，，，，，S2C2F具有三个主要特点：
1、框架实践面向威胁且笼罩使用全历程
S2C2FV1.1共包括8项实践，，，，，即引入、扫描、库存、更新、审计、执行、重构建、修复(并通知上游)，，，，，涵盖了组织在使用OSS历程中各个环节上的治理事情，，，，，每个实践又包括若干条详细的“要求”，，，，，例如，，，，，“扫描”实践的“要求”共有5条，，，，，如下表所示。 。。。。。 。。
S2C2F的实践和要求是基于已知OSS清静威胁而设计的，，，，，包括战术和手艺两方面的威胁，，，，，如误差、后门、恶意代码植入和诱骗、恶意依赖项、编译器破损、依赖混淆、包完整性改动、上游源代码删除、OSS组件阻止修复、未准时修复误差、包管理器恶意代码上传等。 。。。。。 。。
针对每种威胁类型，，，，，框架都列出了响应的可用来缓解的“要求”。 。。。。。 。。例如，，，，，针对“构建恶意OSS包诱骗使用者”的威胁，，，，，框架建议接纳的要求包括：验证OSS的泉源(AUD-1)、强制使用策划的OSS入口控制器以增强对OSS的信托(ENF-2)、扫描OSS中的恶意软件(SCA-4)等。 。。。。。 。。
2、成熟度品级便于组织建设进阶蹊径图
S2C2F是一个成熟度模子，，，，，将针对OSS使用清静的25条要求划归4个差别的成熟度品级，，，，，组织可以比照评价自己目今所处的品级，，，，，并明确未来刷新的偏向。 。。。。。 。。下表是各品级的主要形貌及对应的要求，，，，，其中L4被界说为理想级，，，，，实现本钱较高，，，，，预计难以在整个组织中大规模实验，，，，，但可以思量在要害项目中的要害依赖项上应用。 。。。。。 。。
3、各条要求对应的工具列表展现实操性
S2C2F尚有一大特点是聚焦OSS清静治理的落地，，，，，框架针对各成熟度品级中对应的详细实践和每条要求，，，，，列出了自动化免费工具和付费工具，，，，，供开发集成职员参考。 。。。。。 。。例如，，，，，针对L1中的要求SCA-1(需扫描依赖的已知误差。 。。。。。 。。选择一款可从更多渠道而不但仅是CVE获取误差的工具，，，，，关于确保从多个误差泉源获得信息很是主要)，，，，，S2C2F推荐的工具包括：免费工具GitHubDependencyGraph和付费工具SnykOpenSource、MendSCA。 。。。。。 。。
虽然，，，，，由于微软的配景，，，，，S2C2F推荐的工具以美国厂商生产的产品为主。 。。。。。 。。海内用户在参考时可思量使用相同功效的国产工具，，，，，例如，，，，，在OSS已知误差扫描、允许证危害扫描等方面，，，，，意昂体育-科技赋能场景,让娱乐更有趣!开源卫士可提供一律优良的能力。 。。。。。 。。
别的，，，，，S2C2F每条要求的制订也充分参考了NISTSP800-161、SSDF、CIS软件供应链清静指南、OWASPSCVS、SLSA、CNCF软件供应链最佳实践等已有框架指南的内容。 。。。。。 。。
二、OpenSSF开源软件清静评价要领系统剖析
1、开源软件清静评价要领系统
OpenSSF单独或团结其成员宣布的项目、指南、框架已笼罩开源软件的使用清静、要害性、基础设施清静、误差处置惩罚等多个方面，，，，，形成了针对开源软件的清静评价要领系统，，，，，如下图所示。 。。。。。 。。�；；；；；∩枋┣寰舶ㄍ尽姹究刂啤⒐菇ā⒓用堋芾砥鞯壬婕癘SS开发、存储、宣布等环节设施的清静。 。。。。。 。。部分指南内容可拜见https://mp.weixin.qq.com/s/NyVxcJmUol-2X1kH5r_pvA。 。。。。。 。。
上述分类仅反应这些项目、指南、框架的着重点，，，，，并不代表它们之间是完全没有交集的。 。。。。。 。。例如，，，，，OpenSSF记分卡中有一个指标是“被维护的”，，，，，其中主要的一项是思量OSS项目每周的提交次数，，，，，而OpenSSF开源项目要害性评分中也有类似指标。 。。。。。 。。《评估开源软件的简明指南》(以下简称《简明指南》)中也有“一连维护”方面的内容。 。。。。。 。。
2、开源软件的使用清静
作为软件开发中最主要的第三方原质料之一，，，，，OSS的使用清静关于使用者来说，，，，，无疑是最值得关注的。 。。。。。 。。OpenSSF记分卡、S2C2F和《简明指南》虽然都着重于OSS的使用清静，，，，，但它们之间也有显着的差别。 。。。。。 。。
·关联关系
OpenSSF记分卡是一款基于19项评价指标的OSS项目清静指数自动天生工具。 。。。。。 。。S2C2F为“扫描”实践的SCA-3要求(扫描OSS生命是否已终结)推荐的免费工具就是OpenSSF记分卡；；；；；；《简明指南》中“开发者增强清静性的证实”方面的评价也包括“是否检查了开源软件的OpenSSF记分卡值和已知误差”的指标。 。。。。。 。。因此，，，，，记分卡可以看做是基础。 。。。。。 。。
另一方面，，，，，三种评价要领中的指标有许多也是相同的。 。。。。。 。。例如，，，，，三者都有“扫描已知误差”的指标或要求，，，，，这也是OSS使用清静中最焦点的内容之一，，，，，可借助软件因素剖析(SCA)工具利便的实现。 。。。。。 。。
·主要差别
首先，，，，，OpenSSF记分卡是从OSS自身的角度思量的，，，，，而S2C2F和《简明指南》则是从开发集成职员的操作层面思量的。 。。。。。 。。
在详细指标方面，，，，，三者也保存不小的差别，，，，，主要体现在两个方面。 。。。。。 。。一是名称或手艺内在相同但实验环节或方法差别的指标，，，，，例如，，，，，OpenSSF记分卡和《简明指南》中都有代码审计的指标，，，，，但记分卡中指的是“合并之前，，，，，项目是否要求代码审计”，，，，，而《简明指南》中的代码审计指开发集成职员使用静态剖析工具发明主要问题；；；；；；二是各自特有的指标，，，，，如OpenSSF记分卡的“项目是否有分支保�；；；；；�”、《简明指南》的“是否只管镌汰依赖的数目(使用现有的依赖关系，，，，，不再增添)”、S2C2F的“强制使用策划的OSS入口控制器(ENF-2)”，，，，，这些都是各自特有的。 。。。。。 。。
总体而言，，，，，三者各有优势。 。。。。。 。。OpenSSF记分卡的优势在于其自动化工具的属性，，，，，有助于使用者对OSS的清静状态举行自动化剖析和信托决议；；；；；；S2C2F的优势是其框架结构和成熟度品级，，，，，切合使用者的明确逻辑，，，，，针对性的指导作用较强；；；；；；《简明指南》给出了OSS使用清静9个方面的内容，，，，，可看做是一些基来源则，，，，，某些方面也列出了详细的示例。 。。。。。 。。
三、对我国开源软件清静事情的启示
2021年10月，，，，，中国人民银行、中央网信办等五部分团结宣布了《关于规范金融业开源手艺应用与生长的意见》，，，，，就规范金融机构合理应用开源手艺，，，，，提高应用水平和自主可控能力等方面提出了原则性要求，，，，，开源软件清静是其中的主要内容；；；；；；2022年11月初，，，，，国家标准《信息清静手艺软件产品开源代码清静评价要领》完建设项。 。。。。。 。。
这些都说明国家层面已意识到开源软件清静的主要性，，，，，并着手规范应对此类问题。 。。。。。 。。团结前面的相关研究，，，，，本文建议可从以下三个方面思量开源软件的清静评价要领：
·从开源软件使用者角度确立指标系统框架。 。。。。。 。。
S2C2F给出了一个很好的树模，，，，，该框架从开源软件使用者的角度梳理出8项清静实践，，，，，对应于使用历程中的8个环节。 。。。。。 。。由于开源软件使用者同样也是评价要领的使用者和评价效果的决议者，，，，，以是从这个角度设计的框架更切合普遍的明确逻辑，，，，，能够爆发更好的指导效果。 。。。。。 。。
·兼顾开源软件的自身清静和基础设施清静。 。。。。。 。。
关于开源软件清静性的评价，，，，，既要思量清静误差、后门、恶意代码、数字署名、SBOM等自身的清静因素，，，，，同时也应该兼顾诸如OpenSSF最佳实践徽章和《NPM最佳实践指南》之中明确的官方宣布网站、版本控制、构建、加密、包管理器、误差共享披露机制等基础设施的清静。 。。。。。 。。
·统筹开源软件清静评价的指导性和落地性。 。。。。。 。。
一方面，，，，，可参考现在已有的标准、指南和框架，，，，，并团结我国开源软件使用组织的现实状态，，，，，制订兼具指导性和完整性的开源软件清静评价指标系统；；；；；；另一方面，，，，，可借鉴S2C2F工具列表的做法，，，，，推荐相关的自动化工具，，，，，并将国产优异工具作为首选，，，，，以增强评价要领的落地性和实操性。 。。。。。 。。
关于作者
董国伟，，，，，虎符智库专家，，，，，意昂体育-科技赋能场景,让娱乐更有趣!代码清静实验室高级专家，，，，，博士，，，，，从事网络清静、软件清静、代码审计和误差剖析相关事情近20年。 。。。。。 。。
连忙拨打
京公网安备11000002002064号