百度360必应搜狗淘宝本站头条
当前位置:网站首页 > 技术教程 > 正文

OpenSSF 发布开源项目安全基线(openssl开发包)

mhr18 2025-05-02 19:48 22 浏览 0 评论

作者 | Sergio De Simone
译者 | 平川
策划 | Tina

为了帮助开源项目维护者保证项目安全,开源安全基金会(OpenSSF)发布了一套基于国际网络安全框架、标准和法规的指南:开源项目安全基线。

OSPS 基线提供了一个分层的安全实践框架,可随着项目成熟度的提高而不断发展。它汇总了来自 OpenSSF 和其他专家组的现有的一些指南,概述了可增强软件开发和消费安全性的任务、流程、工件和配置。

OpenSSF 基线的主要目标是为不同规模的项目和团队的安全需求提供解决方案。基线维护者表示,相比之下,大多数商业或行业认可的框架和标准都是针对大型组织而创建的。他们认识到, OpenSSF 基线有可能与其他开源安全方案重叠,包括 CISA 和 NIST 的方案。尽管如此,他们还是强调了方案由“开源贡献者、维护者和技术领导者”定义的重要性,他们已经在开源项目中并肩工作了数十年。

OpenSSF 认为,遵守安全基线标志着一个项目已采取了一些基本措施来降低出现常见漏洞的风险,可以提高采用者和贡献者对它的信任度。不过,这个工具并不是为了用于比较项目 或作为评分或分级机制。

该基线是 由来自不同组织的维护者组成的团队 创建的。其中一位是目前在安全公司 Sonatype 工作的 Eddie Knight,他解释了他们 如何利用 从广泛采用的 最佳实践徽章、记分卡 和 CLOMonitor 中获得的洞察力。

此外,基线的定义还考虑了欧盟《网络弹性法案》(CRA)和美国国家标准与技术研究院(NIST)《安全软件开发框架》(SSDF)中的要求,以便维护者和开源软件制造商可以依据它来更好地满足监管要求。

OpenSSF 基线按三个“项目成熟度”级别进行组织。没有 “放之四海而皆准”的安全解决方案,用户需要选择最适合自身情况和可用资源的级别。第 1 级是任何拥有任意数量维护者的项目;第 2 级是拥有至少两名维护者和少量用户的项目;第 3 级是拥有大量用户的项目。

基线涵盖不同的安全领域,如访问控制、构建和发布、文档、质量、漏洞管理等。举例来说,访问控制部分重点介绍了针对项目版本系统和 CI/CD 管道的访问控制机制,如遵循最小权限原则分配 CI/CD 权限、要求合作者进行多因素身份验证 等。

Jamie Scott 是 Endor Labs 产品经理、Redis 和 StackRox 的前开源贡献者。他强调了基线可能被滥用的风险,例如期望每个开源项目都选择加入。此外,他还强调,重要的是要理解,开源安全应该是维护者和使用其项目的公司共同承担的责任。因此,“如果你希望看到一个项目成熟,你就有责任帮助它”。

目前尚没有自动化工具可以用来证明项目是否符合基准。建议项目维护者能够自证,如 “截至 2025 年 4 月 31 日,本项目符合 OSPS 基准版本 2025-02-30 第 2 级”。

OpenSSF 将随着时间的推移定期更新基线,以反映经过改进的最新最佳实践。

原文链接:

https://www.infoq.com/news/2025/03/openssf-security-baseline/

声明:本文为 InfoQ 翻译,未经许可禁止转载。

今日好文推荐
“AI 六小虎”首个 IPO 来了!大模型狂奔两年后,开源成“唯一出路”
18 岁亿万富豪遭名校集体拒收!高中靠 AI 狂揽 300 万用户,入学申请竟成“炫富”翻车现场?
微软突发“封杀令”!全面禁止Cursor使用C、C++、C# 扩展,开发者被迫回退版本
“开源版coze”爆火,融资超 4.6 亿!如今 Docker 拉取量超 1 亿,斩获 77.5k star

相关推荐

Dubai's AI Boom Lures Global Tech as Emirate Reinvents Itself as Middle East's Silicon Gateway

AI-generatedimageAsianFin--Dubaiisrapidlytransformingitselffromadesertoilhubintoaglob...

OpenAI Releases o3-pro, Cuts o3 Prices by 80% as Deal with Google Cloud Reported to Make for Compute Needs

TMTPOST--OpenAIisescalatingthepricewarinlargelanguagemodel(LLM)whileseekingpartnershi...

黄仁勋说AI Agent才是未来!但究竟有些啥影响?

,抓住风口(iOS用户请用电脑端打开小程序)本期要点:详解2025年大热点你好,我是王煜全,这里是王煜全要闻评论。最近,有个词被各个科技大佬反复提及——AIAgent,智能体。黄仁勋在CES展的发布...

商城微服务项目组件搭建(五)——Kafka、Tomcat等安装部署

1、本文属于mini商城系列文档的第0章,由于篇幅原因,这篇文章拆成了6部分,本文属于第5部分2、mini商城项目详细文档及代码见CSDN:https://blog.csdn.net/Eclipse_...

Python+Appium环境搭建与自动化教程

以下是保姆级教程,手把手教你搭建Python+Appium环境并实现简单的APP自动化测试:一、环境搭建(Windows系统)1.安装Python访问Python官网下载最新版(建议...

零配置入门:用VSCode写Java代码的正确姿

一、环境准备:安装JDK,让电脑“听懂”Java目标:安装Java开发工具包(JDK),配置环境变量下载JDKJava程序需要JDK(JavaDevelopmentKit)才能运行和编译。以下是两...

Mycat的搭建以及配置与启动(mycat2)

1、首先开启服务器相关端口firewall-cmd--permanent--add-port=9066/tcpfirewall-cmd--permanent--add-port=80...

kubernetes 部署mysql应用(k8s mysql部署)

这边仅用于测试环境,一般生产环境mysql不建议使用容器部署。这里假设安装mysql版本为mysql8.0.33一、创建MySQL配置(ConfigMap)#mysql-config.yaml...

Spring Data Jpa 介绍和详细入门案例搭建

1.SpringDataJPA的概念在介绍SpringDataJPA的时候,我们首先认识下Hibernate。Hibernate是数据访问解决技术的绝对霸主,使用O/R映射(Object-Re...

量子点格棋上线!“天衍”邀您执子入局

你是否能在策略上战胜量子智能?这不仅是一场博弈更是一次量子智力的较量——量子点格棋正式上线!试试你能否赢下这场量子智局!游戏玩法详解一笔一画间的策略博弈游戏目标:封闭格子、争夺领地点格棋的基本目标是利...

美国将与阿联酋合作建立海外最大的人工智能数据中心

当地时间5月15日,美国白宫宣布与阿联酋合作建立人工智能数据中心园区,据称这是美国以外最大的人工智能园区。阿布扎比政府支持的阿联酋公司G42及多家美国公司将在阿布扎比合作建造容量为5GW的数据中心,占...

盘后股价大涨近8%!甲骨文的业绩及指引超预期?

近期,美股的AI概念股迎来了一波上升行情,微软(MSFT.US)频创新高,英伟达(NVDA.US)、台积电(TSM.US)、博通(AVGO.US)、甲骨文(ORCL.US)等多股亦出现显著上涨。而从基...

甲骨文预计新财年云基础设施营收将涨超70%,盘后一度涨8% | 财报见闻

甲骨文(Oracle)周三盘后公布财报显示,该公司第四财季业绩超预期,虽然云基建略微逊于预期,但管理层预计2026财年云基础设施营收预计将增长超过70%,同时资本支出继上年猛增三倍后,新财年将继续增至...

Springboot数据访问(整合MongoDB)

SpringBoot整合MongoDB基本概念MongoDB与我们之前熟知的关系型数据库(MySQL、Oracle)不同,MongoDB是一个文档数据库,它具有所需的可伸缩性和灵活性,以及所需的查询和...

Linux环境下,Jmeter压力测试的搭建及报错解决方法

概述  Jmeter最早是为了测试Tomcat的前身JServ的执行效率而诞生的。到目前为止,它的最新版本是5.3,其测试能力也不再仅仅只局限于对于Web服务器的测试,而是涵盖了数据库、JM...

取消回复欢迎 发表评论: