linux办公网
软件包分析项目实时检查开源仓库中的包
创始人
2024-03-02 11:09:51
0次

openssf-logo

开源安全基金会（OpenSSF）发布了一个新工具的测试版，它可以对发布到著名开源仓库的所有软件包进行动态分析。软件包分析项目试图通过识别任何恶意行为并警告用户来保护开源软件包，目的是增强对开源软件的信任并加强软件供应链的安全性。

OpenSSF 说：“软件包分析项目旨在了解开源仓库上可用软件包的行为和功能：它们访问哪些文件，它们连接到哪些地址，以及它们运行哪些命令？”

该基金会的 Caleb Brown 和 David A. Wheeler 补充说：“该项目还跟踪软件包随时间的行为变化，以确定以前安全的软件何时开始出现可疑行为。”

该程序在为期一个月的测试运行中发现了 200 多个发布到 PyPI 和 NPM 的恶意软件包，其中大多数流氓库依赖于依赖混淆和仿冒攻击。谷歌是 OpenSSF 的成员，它支持软件包分析计划，强调“在发布软件包之前审查软件包以确保用户安全”的重要性。

去年，该公司的开源安全团队提出了软件工件的供应链级别（SLSA）架构，以验证软件包的完整性并防止未经授权的更改。这一发展是在开源生态系统越来越多地被武器化，用加密货币矿工和数据窃贼等恶意软件攻击开发者的情况下进行的。

via: https://www.opensourceforu.com/2022/05/package-analysis-examines-packages-in-open-source-repositories-in-real-time/

作者：Laveesh Kocher 选题：lkxed 译者：geekpi 校对：wxy

本文由 LCTT 原创编译，Linux中国 荣誉推出

开源 软件包

上一篇：如何将你的文件系统转换为 Btrfs

下一篇：Fedora Linux 36 发布

相关内容

开源证券：给予无锡晶海增持...
开源证券股份有限公司诸海滨近期对无锡晶海进行研究并发布了研究报告《...
2025-05-10 22:47:49
苏州市RISC-V开源芯片...
今天（5月10日），RISC-V开源芯片产业创新中心启动仪式暨RI...
2025-05-10 13:16:35
DeepSeek公开致谢腾...
DeepSeek近日公开感谢腾讯技术团队对其开源通信框架DeepE...
2025-05-10 10:46:52
开源鸿蒙让交通更智能更便捷...
5月8日，以“开源•智联•共生”为主题的开放原子“园区行”（深圳站...
2025-05-09 19:16:40
中兴通讯：公司积极拥抱开源...
金融界5月9日消息，有投资者在互动平台向中兴通讯提问：您好，请问公...
2025-05-09 18:19:43
英伟达开源代码大模型 基于...
5月9日，英伟达宣布开源其代码推理模型，包含32B、14B和7B三...
2025-05-09 16:47:23

热门资讯

使用 KRAWL 扫描 Kub... 用 KRAWL 脚本来识别 Kubernetes Pod 和容器中的错误。当你使用 Kubernet...
Helix：高级 Linux ... 说到 基于终端的文本编辑器，通常 Vim、Emacs 和 Nano 受到了关注。这并不意味着没有其他...
通过 SaltStack 管理... 我在搜索Puppet的替代品时，偶然间碰到了Salt。我喜欢puppet，但是我又爱上Salt了:)...
Epic 游戏商店现在可在 S... 现在可以在 Steam Deck 上运行 Epic 游戏商店了，几乎无懈可击! 但是，它是非官方的。...
如何在 Github 上创建一... 学习如何复刻一个仓库，进行更改，并要求维护人员审查并合并它。你知道如何使用 git 了，你有一个 G...
2024 开年，LLUG 和你... Hi，Linuxer，2024 新年伊始，不知道你是否已经准备好迎接新的一年～ 2024 年，Lin...
什么是 KDE Connect... 什么是 KDE Connect？它的主要特性是什么？它应该如何安装？本文提供了基本的使用指南。科技日...
JStock：Linux 上不... 如果你在股票市场做投资，那么你可能非常清楚投资组合管理计划有多重要。管理投资组合的目标是依据你能承受...
Opera 浏览器内置的 VP... 昨天我们报道过 Opera 浏览器内置了 VPN 服务，用户打开它可以防止他们的在线活动被窥视。不过...
Bazzite：专为 Stea... 为 Linux 桌面或者 Steam Deck 做好游戏准备，听起来都很刺激！对于一个专为 Linu...