搜索

[14825] 2019-11-17_GitHub推出“安全实验室”和漏洞奖励计划

文档创建者：s7ckTeam
浏览次数：13
最后更新：2025-01-18
2019-11-17_GitHub推出“安全实验室”和漏洞奖励计划 G i t H u b 推 出 “ 安 全 实 验 室 ” 和 漏 洞 奖 励 计 划 代 码 卫 士   F r e e B u f   2 0 1 9 - 1 1 - 1 7 G i t H u b   在 全 球 开 发 者 大 会 上 宣 布 推 出 新 的 社 区 计 划 在 全 球 开 发 者 大 会 上 宣 布 推 出 新 的 社 区 计 划 “ 安 全 实 验 室 安 全 实 验 室   ( S e c u r i t y   L a b ) ” ， 汇 聚 各 行 各 业 的 安 全 研 究 员 ， 汇 聚 各 行 各 业 的 安 全 研 究 员 查 找 并 修 复 开 源 项 目 中 的 漏 洞 问 题 。 查 找 并 修 复 开 源 项 目 中 的 漏 洞 问 题 。 G i t H u b   在 新 闻 稿 中 指 出 ， “ G i t H u b   安 全 实 验 室 的 任 务 是 启 发 并 赋 能 全 球 安 全 研 究 社 区 ， 保 护 全 球 代 码 的 安 全 。 团 队 将 以 身 作 则 ， 竭 尽 全 力 找 到 并 报 告 关 键 开 源 项 目 中 的 漏 洞 。 ” 该 安 全 实 验 室 的 创 始 成 员 来 自 著 名 组 织 机 构 ， 如 微 软 、 谷 歌 、 I n t e l 、 M o z i l l a 、 甲 骨 文 、 优 步 、 V M W a r e 、 L i n k e d I n 、 摩 根 大 通 、 N C C   集 团 、 I O A c t i v e 、 F 5 、 T r a i l   o f   B i t s   和   H a c k e r O n e   等 。 G i t H u b   表 示 ， 安 全 实 验 室 的 创 始 成 员 已 发 现 、 报 告 并 协 助 修 复 了 开 源 项 目 中 的 1 0 0 多 个 安 全 漏 洞 。 其 它 组 织 机 构 以 及 个 人 安 全 研 究 员 也 可 加 入 。 G i t H u b   还 设 立 了 奖 励 金 最 高 为 3 0 0 0 美 元 的 漏 洞 奖 励 计 划 ， 以 补 偿 漏 洞 猎
人 在 查 找 开 源 项 目 中 漏 洞 时 投 入 的 时 间 。 该 漏 洞 奖 励 计 划 要 求 提 交 的 漏 洞 报 告 必 须 包 括 一 个   C o d e Q L   查 询 。 C o d e Q L   是 G i t H u b   刚 刚 推 出 的 一 款 新 型 开 源 工 具 ， 它 是 一 款 语 义 代 码 分 析 引 擎 ， 旨 在 查 找 大 量 代 码 中 同 一 漏 洞 的 不 同 版 本 。 除 了   G i t H u b   平 台 外 ， C o d e Q L   已 经 应 用 于 其 它 平 台 的 漏 洞 代 码 扫 描 活 动 中 ， 如   M o z i l l a 。 提 升 安 全 的 更 广 泛 计 划 提 升 安 全 的 更 广 泛 计 划 G i t H u b   推 出 安 全 实 验 室 项 目 并 非 空 穴 来 风 。 G i t H u b   一 直 都 在 致 力 于 提 升   G i t H u b   生 态 系 统 的 整 体 安 全 性 。 例 如 ， G i t H u b   在 过 去 两 年 来 一 直 都 在 推 出 安 全 通 知 ， 向 项 目 维 护 人 员 发 出 关 于 包 含 安 全 缺 陷 的 依 赖 关 系 的 警 告 信 息 。 今 年 早 些 时 候 ， G i t H u b   开 始 测 试 一 项 能 够 使 项 目 作 者 创 建 “ 自 动 化 安 全 更 新 ” 的 功 能 。 当   G i t H u b   从 项 目 的 依 赖 关 系 中 检 测 到 安 全 缺 陷 时 ， 将 自 动 更 新 该 依 赖 关 系 并 以 项 目 维 护 人 员 的 名 义 发 布 新 版 本 。 2 0 1 9 年 ， 该 功 能 的 测 试 版 已 向 所 有 项 目 开 放 测 试 ， 而 从 今 天 开 始 自 动 的 安 全 更 新 已 存 在 并 向 所 有 启 动 安 全 警 告 信 息 的 活 跃 库 推 出 。 另 外 ， 最 近   G i t H u b   还 成 为 授 权 的   C V E   编 号 发 布 机 构 ， 也 就 是 说 它 能 够 为 漏 洞 发 布   C V E   编 号 。 这 一 功 能 已 经 增 加 至 “ 安 全 建 议 ” 服 务 功 能 中 。 这 些 都 是 项 目   “ I s s u e s T r a c k e r ”   的 特 殊 条 目 ， 其 中 安 全 缺 陷 都 是 非 公 开 处 理 的 。 漏 洞 修 复 后 ， 项 目 所 有 人 就 可 以 发 布 安 全 公 告 ， 而 G i t H u b   将 向 所 有 使 用 原 来 维 护 人 员 的 代 码 的 易 受 攻 击 版 本 的 上 游 项 目 所 有 人 。 但 在 发 布 安 全 公 告 前 ， 项 目 所 有 人 同 时 可 以 直 接 向   G i t H u b 请 求 并 收 到   C V E   编 号 。 此 前 ， 鉴 于 严 苛 的 进 程 ， 很 多 将 开 源 项 目 托 管 在   G i t H u b   上 的 项 目 所 有 人 对 申 请   C V E   编 号 望 而 却 步 。 然 而 ， 获 得 C V E   编 号 很 重 要 ， 因 为 这 些   I D   和 其 它 详 情 可 被 集 成 到 很 多 其 它 扫 描 源 代 码 和 项 目 漏 洞 的 安 全 工 具 中 ， 帮 助 企 业 从 所 使 用 的 开 源 工 具 中 检 测 出 本 来 会 被 错 过 的 漏 洞 。 除 了 新 推 出 的 安 全 实 验 室 外 ， G i t H u b   还 推 出 了   G i t H u b   安 全 公 告 数 据 库 ， 用 于 收 集 平 台 上 能 找 到 的 所 有 安 全 公 告 ， 更 方 便 所 有 人 追 踪 在   G i t H u b   托 管 项 目 中 找 到 的 安 全 漏 洞 问 题 。 最 后 ， G i t H u b   还 更 新 了   T o k e n   S c a n n i n g   自 有 服 务 。 它 能 够 扫 描 用 户 项 目 中 不 慎 在 源 代 码 中 遗 留 的   A P I   密 钥 和 令 牌 。 该 服 务 此 前 能 够 为 2 0 种 服 务 检 测   A P I   令 牌 ， 而 新 版 本 能 够 检 测 的 格 式 又 增 加 四 个 厂 商 ： G o C a r d l e s s 、 H a s h i C o r p 、 P o s t m a n   和 腾 讯 云 。 * 参 考 来 源 ： 参 考 来 源 ： Z D N E T ， 由 奇 安 信 代 码 卫 士 编 译 ， 转 载 请 注 明 来 自 ， 由 奇 安 信 代 码 卫 士 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理