BIND 9

本サイトが提示する下記のベストプラクティスを実行するプロジェクトは、Open Source Security Foundation (OpenSSF) バッジを達成したことを自主的に自己認証し、そのことを外部に示すことができます。

これがあなたのプロジェクトなら、あなたのプロジェクトページにあなたのバッジステータスを表示してください！バッジステータスは次のようになります。 プロジェクト 299 のバッジ レベルは passing です バッジステータスの埋め込み方法は次のとおりです。

これらはゴールドレベルの基準です。合格またはシルバーレベル基準を表示することもできます。

        

 基本的情報 3/5 ●

  • 識別情報

    BIND is open source software that implements the Domain Name System (DNS) protocols for the Internet.

  • 前提要件


    バッジには不十分です。

    プロジェクトは、シルバー レベル バッジを達成しなければなりません。 [achieve_silver]

  • プロジェクトの管理・運営


    バッジには十分です！

    プロジェクトは2以上の "バス ファクタ"を持つ必要があります。 (URLが必要です) [bus_factor]

    https://gitlab.isc.org/isc-projects/bind9/graphs/master We have a team of active committers. The gitlab graph actually understates contributors because we have fewer authorized committers.


    必須情報が不明、バッジに十分ではありません。

    プロジェクトには少なくとも2人の関係を持たない重要な貢献者がいなければなりません。 (URLが必要です) [contributors_unassociated]

  • その他


    バッジには十分です！

    プロジェクトは、各ソースファイルにライセンスステートメントを含まなければなりません。これは、各ファイルの先頭近くに次のコメントを含めることによって行うことができます： SPDXライセンス識別子：[プロジェクトに対するSPDXライセンス表現] [license_per_file]

    we have this header in each file: - Copyright (C) Internet Systems Consortium, Inc. ("ISC") - - This Source Code Form is subject to the terms of the Mozilla Public - License, v. 2.0. If a copy of the MPL was not distributed with this - file, you can obtain one at https://mozilla.org/MPL/2.0/. - - See the COPYRIGHT file distributed with this work for additional - information regarding copyright ownership. -->

    and this at the top level of our repo https://gitlab.isc.org/isc-projects/bind9/-/blob/main/LICENSE

    and of course, it is also mentioned in the readme...


  • 公開されたバージョン管理ソースリポジトリ


    バッジには十分です！

    プロジェクトのソースリポジトリは、共通の分散バージョン管理ソフトウェア（gitやmercurialなど）を使用しなければなりません。 [repo_distributed]

    We use a privately hosted instance of the open source Gitlab.


    バッジには十分です！

    プロジェクトは、新規または偶に参加する貢献者によって実行できる小さなタスクを明確に識別しなければなりません。 (URLが必要です) [small_tasks]

    We have a number of such items identified by the label "patches welcome" https://gitlab.isc.org/isc-projects/bind9/-/issues/?sort=created_date&state=opened&label_name%5B%5D=Patches%20Welcome&first_page_size=20


    バッジには十分です！

    プロジェクトは、中央リポジトリを変更したり、機密データ（プライベート脆弱性レポートなど）にアクセスするために、開発者に対して二要素認証（2FA）を要求する必要があります。推奨されませんが、2FAメカニズムは、SMSのような暗号化メカニズムを持たないメカニズムを使用することができます。 [require_2FA]

    We require 2FA for developers, maintainers and owners. https://gitlab.isc.org/isc-projects/bind9/-/project_members


    バッジには十分です！

    プロジェクトの2要素認証（2FA）は、偽装を防ぐために暗号化メカニズムを使用すべきです。ショート メッセージ サービス（SMS）ベースの2FA自体は、暗号化されていないため、この基準を満たしていません。 [secure_2FA]

    We use TOTP: https://docs.gitlab.com/ee/user/profile/account/two_factor_authentication.html


  • コーディング標準


    バッジには十分です！

    プロジェクトは、コードレビューの実施方法、チェックする必要があるもの、受け入れられる必要があるものなど、コードレビュー要件を文書化しなければなりません。 (URLが必要です) [code_review_standards]

    https://gitlab.isc.org/isc-projects/bind9/-/blob/main/doc/dev/dev.md#reviews This is also explained and linked in the Contributing document https://gitlab.isc.org/isc-projects/bind9/-/blob/main/CONTRIBUTING.md

    Our code review process includes a list of things to check. In brief, the developer creates a branch for the work to be committed. When the work is ready, he/she creates a merge request marked with the label 'review' and unassigns themselves to the issue. Someone else on the team takes the issue and reviews the code, providing comments via Gitlab, and then they remove the review label and reassign back to the original author. The original author then addresses the comments, which could include explaining why they did something, or - most often - by modifying the code or documentation.


    バッジには十分です！

    プロジェクトは、公開する前に、提案されたすべての変更の少なくとも50％を著作者以外の人がレビューして、それが価値のある変更であり、取り込みに反対する既知の問題がないかどうかを判断しなければなりません。 [two_person_review]

    https://gitlab.isc.org/isc-projects/bind9/-/blob/main/doc/dev/dev.md#reviews This is also explained and linked in the Contributing document https://gitlab.isc.org/isc-projects/bind9/-/blob/main/CONTRIBUTING.md

    Our code review process includes a list of things to check. In brief, the developer creates a branch for the work to be committed. When the work is ready, he/she creates a merge request marked with the label 'review' and unassigns themselves to the issue. Someone else on the team takes the issue and reviews the code, providing comments via Gitlab, and then they remove the review label and reassign back to the original author. The original author then addresses the comments, which could include explaining why they did something, or - most often - by modifying the code or documentation.


  • 作業ビルドシステム


    バッジには十分です！

    プロジェクトが再現可能なビルドを持たなければなりません。ビルドが発生しない場合（たとえば、コンパイルされないでソースコードが直接使用されるスクリプト言語）、「該当なし」（N/A）を選択します。 (URLが必要です) [build_reproducible]

    BIND is packaged in several operating systems that do provide reproducible builds (Debian, Arch Linux, SUSE, etc). https://tests.reproducible-builds.org/debian/rb-pkg/unstable/amd64/bind9.html


  • 自動テスト スイート


    バッジには十分です！

    テストスイートは、その言語の標準的な方法で呼び出すことができなければなりません。 (URLが必要です) [test_invocation]

    https://gitlab.isc.org/isc-projects/bind9/-/blob/main/doc/dev/dev.md#testing Our tests can be executed using "make check".


    バッジには十分です！

    プロジェクトは、新しいコードまたは変更されたコードが頻繁に中央コードリポジトリに統合され、その結果に対して自動化されたテストが実行される、継続的な統合を実装しなければなりません。 (URLが必要です) [test_continuous_integration]

    We use continuous integration running in our Gitlab instance. https://gitlab.isc.org/isc-projects/bind9/-/pipelines


    必須情報が不明、バッジに十分ではありません。

    プロジェクトは、選択された言語でこの基準を測定できる少なくとも1つのFLOSSツールがある場合、少なくとも80％のステートメント カバレッジを提供するFLOSS自動テストスイートを備えていなければなりません。 [test_statement_coverage90]

    必須情報が不明、バッジに十分ではありません。

    選択された言語でこの基準を測定できる少なくとも1つのFLOSSツールがあれば、少なくとも80％のブランチカバレッジを提供するFLOSS自動テストスイートがプロジェクトに存在しなければなりません。 [test_branch_coverage80]

  • 優良な暗号手法を使用する

    一部のソフトウェアは暗号化メカニズムを使用する必要がないことに注意してください。あなたのプロジェクトが作成するソフトウェアが、(1) 暗号化機能を含む、アクティブ化する、または有効化し、(2) 米国（US）から米国外または米国市民以外にリリースされる可能性がある場合は、法的に義務付けられた追加手順の実行を要求される可能性があります。通常、これにはメールの送信が含まれます。詳細については、 Understanding Open Source Technology & US Export Controls（「オープンソース技術と米国の輸出管理について」）の暗号化のセクションを参照してください。

    バッジには十分です！

    プロジェクトで作成されたソフトウェアは、ネットワーク通信すべてに対して、SSHv2以降、TLS1.2以降 (HTTPS)、IPsec、SFTP、SNMPv3などのセキュア プロトコルをサポートしなければなりません。FTP、HTTP、telnet、SSLv3以前、SSHv1などのセキュアでないプロトコルは、デフォルトで無効にしておき、ユーザーが特別に設定した亜場合のみ有効にしなければなりません。プロジェクトによって作成されたソフトウェアがネットワーク通信をサポートしない場合は、「該当なし」（N/A）を選択します。 [crypto_used_network]

    We support several encrypted DNS protocols, including DNS over TLS (aka DOT).


    バッジには十分です！

    プロジェクトによって作成されたソフトウェアは、TLSをサポートあるいは使用する場合、少なくともTLSバージョン1.2をサポートしなければなりません。TLSの前身は、SSLと呼ばれていたことに注意して下さい。ソフトウェアがTLSを使用ない場合、「該当なし」（N/A）を選択します。 [crypto_tls12]

    We support TLS. https://bind9.readthedocs.io/en/latest/reference.html#namedconf-statement-tls


  • MITM（man-in-the-middle：中間者）攻撃に対応できる安全な配信


    バッジには不十分です。

    プロジェクトウェブサイト、リポジトリ（ウェブからアクセス可能な場合）、およびダウンロードサイト（別々の場合）には、許容できない値を持つキー強化ヘッダーが含まれていなければなりません。 (URLが必要です) [hardened_site]

    X-Content-Type-Options was not set to "nosniff". // One or more of the required security hardening headers is missing.


  • その他のセキュリティ上の課題


    バッジには十分です！

    プロジェクトは過去5年間にセキュリティレビューを実施していなければなりません。このレビューは、セキュリティ要件とセキュリティ境界を考慮しなければならりません。 [security_review]

    We had an external audit performed by x.41-DE in 2023: https://www.isc.org/blogs/2024-bind-audit/


    バッジには十分です！

    プロジェクトによって作成されたソフトウェアで強化メカニズムを使用しなければならないので、ソフトウェア欠陥がセキュリティ上の脆弱性を引き起こす可能性が低くなります。 (URLが必要です) [hardening]

    we do enable hardening in C complier:

    https://gitlab.isc.org/isc-projects/bind9/-/blob/main/configure.ac?ref_type=heads#L143

    See https://www.redhat.com/en/blog/enhance-application-security-fortifysource for what this does.


  • 動的コード分析


    バッジには十分です！

    プロジェクトは、リリース前にプロジェクトによって作成されたソフトウェアの主要な製品リリースに対して、少なくとも1つの動的解析ツールを適用しなければなりません。 [dynamic_analysis]

    we have implemented AFL fuzzing


    バッジには十分です！

    プロジェクトは、生成するソフトウェアに多くの実行時アサーションを含めるべきであり、動的分析中にそれらのアサーションをチェックするべきです。 [dynamic_analysis_enable_assertions]

    It is often suggested that we have TOO MANY run-time asssertions....



This data is available under the Community Data License Agreement – Permissive, Version 2.0 (CDLA-Permissive-2.0). This means that a Data Recipient may share the Data, with or without modifications, so long as the Data Recipient makes available the text of this agreement with the shared Data. Please credit Vicky Risk and the OpenSSF Best Practices badge contributors.

プロジェクト バッジ登録の所有者： Vicky Risk.
エントリの作成日時 2016-08-15 17:41:15 UTC、 最終更新日 2025-02-12 17:43:44 UTC 最後に2023-07-11 15:31:20 UTCにバッジ合格できませんでした。 最後に2023-07-11 15:34:03 UTCにバッジ合格を達成しました。

もどる