Rágyúr a Python biztonságára a GitHub

A GitHub kibővítette a meglehetősen sikeres biztonsági riasztórendszerét, amely mostantól a Python alapú projekteket is támogatja.
 

A GitHub tavaly novemberben jelentette be azt a biztonsági szolgáltatását, amelynek révén a projektek, kódok esetében a korábbiaknál automatizáltabban mutathatók ki sebezhetőségek. A védelmi megoldás rendszeresen ellenőrzi a feltöltött kódokat, és függéségeket keres. Ezeket pedig biztonsági ellenőrzésnek veti alá, például verziószám alapján. Ha egy olyan függőségre (például programkönyvtárra) akad, amely ismert (CVE-azonosítóval rendelkező) biztonsági rést tartalmaz, akkor a fejlesztőt riasztja. E technológia eddig a JavaScript és a Ruby projektekhez volt elérhető, de mostantól már a Python fejlesztői is kiaknázhatják a benne rejlő lehetőségeket. Ez esetben a rendszer a requirements.txt vagy a Pipfile.lock állomány révén vizsgálja a függőségeket.
 
A fejlesztő választhat, hogy ha probléma merül fel a kódjával kapcsolatban, akkor milyen módon szeretne minderről értesülni. Lehetőség van webes (GitHub felületén megjelenő) figyelmeztetésekre, vagy akár e-mailes riasztásokra is.
 
A GitHub még márciusban tett közzé egy statisztikát, amelynek tanúsága szerint a szóban forgó biztonsági megoldás valóban jól teljesít. A novemberi indulását követő egy hónapon belül a fejlesztők 450.000 ezer biztonsági rést foltoztak be azáltal, hogy frissítették a sérülékeny szoftveres összetevőket, vagy egész egyszerűen kigyomlálták a felesleges és hibás függőségeket. Emellett az is jó hír, hogy a sérülékenységek 30 százalékát a riasztásoknak köszönhetően 7 napon belül javítják a fejlesztők, míg a fennmaradó sebezhetőségek zömét 90 napon belül orvosolják.
 
A GitHub biztonsági funkciója a publikus projektek esetén alapértelmezetten élesedik, míg a zárt projekteknél a fejlesztőknek kell manuálisan aktiválniuk a szolgáltatást. Egyelőre nincs hír arról, hogy a Python után melyik lesz a következő támogatott nyelv, de könnyen elképzelhető, hogy a .Net kerül majd középpontba.