Критерии лучших практик FLOSS (серебряный значок)

Это набор лучших практик для проектов свободного и открытого ПО (Free/Libre and Open Source Software - FLOSS) для получения значка "Передовая практика Open Source Security Foundation (OpenSSF)" уровня silver. Вы можете показать этот список с только критериями или с дополнительной информацией. Также доступен полный набор критериев.

См. обсуждение критериев для получения более подробной информации об этих критериях.

Silver

Основы

Предварительные требования

Проект ОБЯЗАН получить значок уровня Passing. ^{[achieve_passing]}

Основная информация на веб-сайте проекта

В информацию о том, как внести вклад, НЕОБХОДИМО включить требования к приемлемым взносам (например, ссылку на любой требуемый стандарт кодирования). {Требуется URL выполнения} ^{[contribution_requirements]}

Надзор за проектом

Проекту СЛЕДУЕТ иметь юридический механизм, через который все авторы содержательных взносов в ПО проекта подтверждают, что они имеют законное право на внесение этих взносов. Самый распространенный и легко реализуемый подход для этого заключается в использовании Developer Certificate of Origin (DCO), при котором пользователи добавляют строку "signed-off-by" в свои коммиты, а проект ссылается на веб-сайт DCO. Но этот механизм МОЖЕТ быть реализован и в качестве Лицензионного соглашения с участниками (Contributor License Agreement, CLA) или другого правового механизма. {Требуется URL выполнения} ^[dco]
Проект ОБЯЗАН четко определить и задокументировать модель управления проектом (способ принятия решений, включая ключевые роли). {Требуется URL выполнения} ^[governance]
Проект ОБЯЗАН определить правила поведения и разместить эти правила в стандартном месте. {Требуется URL выполнения} ^{[code_of_conduct]}
Проект ОБЯЗАН четко определять и публично документировать ключевые роли в проекте и их обязанности, включая любые задачи, которые должны выполнять эти роли. Должно быть ясно, кто имеет какую роль(и), хотя это может быть и не задокументировано соответствующим образом. {Требуется URL выполнения} ^{[roles_responsibilities]}
Проект ОБЯЗАН быть в состоянии продолжать работу с минимальным прерыванием, если какой-либо человек окажется недееспособен или убит. В частности, проект ОБЯЗАН быть в состоянии создавать и закрывать вопросы в трекере, принимать предложенные изменения и выпускать версии программного обеспечения через неделю после подтверждения того, что данный человек недееспособен или убит. Это МОЖЕТ быть реализовано через обеспечение кого-то ещё необходимыми ключами, паролами и законными правами для продолжения проекта. Лица, которые запускают проект СПО, МОГУТ сделать это, оставив ключи в сейфе и завещание, передающее все необходимые юридические права (например, для имен DNS). {Требуется URL выполнения} ^{[access_continuity]}
Проекту СЛЕДУЕТ поддерживать «коэффициент автобуса» 2 или более. {Требуется URL выполнения} ^[bus_factor]

Документация

Проект ОБЯЗАН иметь задокументированный долгосрочный план (roadmap), описывающий, что проект намеревается, а что не намеревается делать, по крайней мере на ближайший год. {Требуется URL выполнения} ^{[documentation_roadmap]}
Проект ОБЯЗАН включать документацию по архитектуре (также называемой высокоуровневым дизайном) ПО, создаваемого проектом. Выберите «неприменимо» (N/A), если проект не создает программное обеспечение. {Требуется обоснование N/A} {Требуется URL выполнения} ^{[documentation_architecture]}
Проект ОБЯЗАН документировать то, что пользователь может и чего он не должен ожидать с точки зрения безопасности от ПО, создаваемого проектом (его «требования безопасности»). {Разрешено N/A} {Требуется URL выполнения} ^{[documentation_security]}
Проект ОБЯЗАН предоставить руководство для быстрого начала работы для новых пользователей, чтобы помочь им быстро что-то сделать, используя ПО, создаваемое проект. {Требуется обоснование N/A} {Требуется URL выполнения} ^{[documentation_quick_start]}
Проект ОБЯЗАН прилагать усилия к тому, чтобы документация соответствовала текущей версии результатов проекта (включая ПО, создаваемое проектом). НЕОБХОДИМО исправлять любые известные дефекты документации, приводящие к ее непоследовательности. Если документация в целом актуальна, но ошибочно включает в себя некоторые более старые данные, которые больше не верны, просто рассматривайте это как дефект, отслеживайте и исправляйте, как обычно. {Требуется обоснование N/A} {Требуется обоснование выполнения} ^{[documentation_current]}
НЕОБХОДИМО размещать ссылку на любые свои достижения, включая этот значок передовой практики, на главной странице проекта и/или веб-сайте в течение 48 часов после открытого признания достижения. {Требуется URL выполнения} ^{[documentation_achievements]}

Общедоступность и интернационализация

Проекту (как на сайтах проекта, так и в результатах работы проекта) СЛЕДУЕТ придерживаться передовой практики общедоступности, чтобы люди с ограниченными возможностями могли участвовать в проекте и использовать результаты проекта, где это имеет смысл. {Требуется обоснование N/A} {Требуется обоснование выполнения} ^{[accessibility_best_practices]}
Проекту СЛЕДУЕТ интернационализировать создаваемое ПО, чтобы обеспечить легкую локализацию под культуру, регион или язык целевой аудитории. Выберите «неприменимо» (N/A), если интернационализация (i18n) не применяется (например, ПО не генерирует текст, предназначенный для конечных пользователей, и не сортирует текст, читаемый человеком), {Требуется обоснование N/A} {Требуется обоснование выполнения} ^{[internationalization]}

Другое

Если на сайтах проекта (веб-сайт, хранилище и URL-адреса загрузки) хранятся пароли для аутентификации внешних пользователей, НЕОБХОДИМО хранить пароли как итерированные хеши с отдельной "солью" для каждого пользователя с использованием алгоритма (итерированного) растяжения ключа (например, Argon2id, Bcrypt, Scrypt или PBKDF2). Выберите «неприменимо» (N/A), если сайты проекта не хранят пароли для этой цели. {Требуется обоснование N/A} {Требуется обоснование выполнения} ^{[sites_password_security]}

Управление изменениями

Предыдущие версии

Проект ОБЯЗАН поддерживать наиболее часто используемые старые версии продукта или предоставлять возможность простого перехода на более новые версии (upgrade path). Если переход затруднен, проект ОБЯЗАН задокументировать порядок обновления (например, изменившиеся интерфейсы и подробные предлагаемые шаги для обновления). {Требуется обоснование N/A} {Требуется обоснование выполнения} ^{[maintenance_or_update]}

Отчеты о проблемах

Процесс сообщения об ошибках

Проект ОБЯЗАН использовать трекер вопросов (issue tracker) для отслеживания отдельных вопросов. {Требуется обоснование N/A} {Требуется обоснование выполнения} ^{[report_tracker]}

Процесс отчета об уязвимостях

Проект ОБЯЗАН отмечать автора(-ов) всех отчетов об уязвимостях, разрешенных за последние 12 месяцев, за исключением авторов, которые просят об анонимности. Выберите «неприменимо» (N/A), если в течение последних 12 месяцев не было обнаружено никаких уязвимостей. {Требуется обоснование N/A} {Требуется URL выполнения} ^{[vulnerability_report_credit]}
Проект ОБЯЗАН иметь документированный процесс реагирования на отчеты об уязвимостях. {Требуется URL выполнения} ^{[vulnerability_response_process]}

Качество

Стандарты кодирования

Проект ОБЯЗАН задать определенные правила стиля кодирования для основных языков, которые он использует, и требовать его соблюдения от предлагаемого кода. {Требуется обоснование N/A} {Требуется URL выполнения} ^{[coding_standards]}
Проект ОБЯЗАН автоматически применять свой выбранный стиль(и) кодирования, если есть хотя бы один инструмент на СПО, который может сделать это на выбранном языке (языках). {Требуется обоснование N/A} {Требуется обоснование выполнения} ^{[coding_standards_enforced]}

Рабочая система сборки

Системы сборки для нативных двоичных файлов ОБЯЗАНЫ учитывать соответствующие переменные (среды) для компилятора и компоновщика, переданные им (например, CC, CFLAGS, CXX, CXXFLAGS и LDFLAGS) и передавать их на вызовы компилятора и компоновщика. Система сборки МОЖЕТ расширять их дополнительными флагами; НЕДОПУСТИМО просто заменять предоставленные значения своими. Выберите «неприменимо» (N/A), если нативные двоичные файлы не создаются. {Требуется обоснование N/A} {Требуется обоснование выполнения} ^{[build_standard_variables]}
В системах сборки и установки СЛЕДУЕТ сохранять отладочную информацию, если передаваемые флаги требуют этого (например, не используется «install -s»). Выберите «неприменимо» (N/A), если системы сборки или установки нет (например, для типичных библиотек JavaScript), . {Требуется обоснование N/A} {Требуется обоснование выполнения} ^{[build_preserve_debug]}
НЕДОПУСТИМО, чтобы система сборки ПО, создаваемого проектом, рекурсивно собирала подкаталоги, если в подкаталогах есть кросс-зависимости. Выберите «неприменимо» (N/A), если системы сборки или установки нет (например, типичные библиотеки JavaScript). {Требуется обоснование N/A} {Требуется обоснование выполнения} ^{[build_non_recursive]}
Проект ОБЯЗАН быть в состоянии повторить процесс генерации информации из исходных файлов и получить такой же результат с точностью до бита. Выберите «неприменимо» (N/A), если в проекте не используется сборка (например, языки сценариев, в которых исходный код используется непосредственно вместо компиляции), . {Требуется обоснование N/A} {Требуется обоснование выполнения} ^{[build_repeatable]}

Система установки

Проект ОБЯЗАН предоставлять возможность легко установить и удалить ПО, создаваемое проектом, с использованием общепринятых способов. {Требуется обоснование N/A} {Требуется обоснование выполнения} ^{[installation_common]}
В системе установки для конечных пользователей НЕОБХОДИМО учитывать стандартные соглашения при выборе места, в которое собранные артефакты записываются при установке. Например, если она устанавливает файлы в системе POSIX, НЕОБХОДИМО учитывать переменную окружения DESTDIR. Если установочной системы или стандартного соглашения нет, выберите «неприменимо» (N/A). {Требуется обоснование N/A} {Требуется обоснование выполнения} ^{[installation_standard_variables]}
Проект ОБЯЗАН предоставить возможность потенциальным разработчикам быстро установить все результаты проекта и поддерживать среду, необходимую для внесения изменений, включая тесты и тестовое окружение. Проект ОБЯЗАН использовать для этого общепринятые соглашения. {Требуется обоснование N/A} {Требуется обоснование выполнения} ^{[installation_development_quick]}

Компоненты, поддерживаемые извне

Проект ОБЯЗАН перечислять внешние зависимости в машинночитаемом виде. {Требуется обоснование N/A} {Требуется URL выполнения} ^{[external_dependencies]}
Проекты ОБЯЗАНЫ следить за своими внешними зависимостями или периодически проверять их (включая копии, сделанные для удобства) на предмет известных уязвимостей, а также исправлять уязвимости, которые могут быть использованы, или проверять невозможность их использования. {Требуется обоснование N/A} {Требуется обоснование выполнения} ^{[dependency_monitoring]}
Проект ОБЯЗАН:
1. позволять легко идентифицировать и обновлять повторно используемые компоненты, поддерживаемые извне; или
2. использовать стандартные компоненты, предоставляемые системой или языком программирования.
В этом случае, если уязвимость обнаружена в повторно используемом компоненте, будет легко обновить этот компонент. {Требуется обоснование N/A} {Требуется обоснование выполнения} ^{[updateable_reused_components]}
Проекту СЛЕДУЕТ избегать использования нерекомендуемых (deprecated) или устаревших (obsolete) функций и API в тех случаях, когда альтернативы на СПО доступны в используемом наборе технологий («стек технологий» проекта) и для подавляющего большинства пользователей, поддерживаемых проектом (т.е. так чтобы пользователи могли быстро воспользоваться этой альтернативой). {Требуется обоснование N/A} {Требуется обоснование выполнения} ^{[interfaces_current]}

Набор автотестов

НЕОБХОДИМО применять автоматический набор тестов к каждому коммиту в общий репозиторий по крайней мере для одной ветки. Этот набор тестов ОБЯЗАН создавать отчет об успешном или неудачном тестировании. {Требуется обоснование выполнения} ^{[automated_integration_testing]}
Проект ОБЯЗАН добавить регрессионные тесты к автоматизированному набору тестов по крайней мере на 50% ошибок, исправленных в течение последних шести месяцев. {Требуется обоснование N/A} {Требуется обоснование выполнения} ^{[regression_tests_added50]}
Проект ОБЯЗАН иметь автоматические тестовые пакеты на СПО, которые обеспечивают покрытие не менее 80% инструкций кода, если есть хотя бы один инструмент на СПО, который может измерять этот критерий на выбранном языке. {Требуется обоснование N/A} {Требуется обоснование выполнения} ^{[test_statement_coverage80]}

Тестирование новых функций

Проект ОБЯЗАН иметь формальную задокументированную политику о том, что при добавлении существенной новой функциональности НЕОБХОДИМО добавлять тесты для новой функциональности в набор автоматических тестов. {Требуется обоснование N/A} {Требуется обоснование выполнения} ^{[test_policy_mandated]}
Проект ОБЯЗАН включать в свои документированные инструкции для предложений об изменениях политику, по которой для существенной новой функциональности должны добавляться тесты. {Требуется обоснование N/A} {Требуется обоснование выполнения} ^{[tests_documented_added]}

Флаги предупреждений

Проекты ОБЯЗАНЫ быть максимально строгими с предупреждениями в ПО, создаваемом проектом, где это целесообразно. {Требуется обоснование N/A} {Требуется обоснование выполнения} ^{[warnings_strict]}

Безопасность

Знание безопасной разработки

Проект ОБЯЗАН реализовывать принципы безопасного дизайна (из критерия «know_secure_design»), где это применимо. Выберите «неприменимо» (N/A), если проект не создает программное обеспечение. {Требуется обоснование N/A} {Требуется обоснование выполнения} ^{[implement_secure_design]}

Основы правильного использования криптографии

В ПО, создаваемом проектом, НЕДОПУСТИМО делать механизмы безопасности по умолчанию зависимыми от криптографических алгоритмов или режимов с известными серьезными слабостями (например, криптографический алгоритм хеширования SHA-1 или режим CBC в SSH). {Разрешено N/A} {Требуется обоснование выполнения} ^{[crypto_weaknesses]}
Проекту СЛЕДУЕТ поддерживать несколько криптографических алгоритмов, чтобы пользователи могли быстро переключиться, если один из них поврежден. Общие симметричные ключевые алгоритмы включают AES, Twofish и Serpent. Общие алгоритмы контрольных сумм (хешей) включают SHA-2 (SHA-224, SHA-256, SHA-384 и SHA-512) и SHA-3. {Разрешено N/A} {Требуется обоснование выполнения} ^{[crypto_algorithm_agility]}
Проект ОБЯЗАН поддерживать хранение данных для аутентификации (например, паролей и динамических токенов) и закрытых криптографических ключей в файлах, отдельных от остальной информации (например, файлов конфигурации, баз данных и журналов) и позволять пользователям их обновление и замену без перекомпиляции кода. Выберите «неприменимо» (N/A), если проект никогда не работает с данными аутентификации и закрытыми криптографическими ключами. {Разрешено N/A} {Требуется обоснование выполнения} ^{[crypto_credential_agility]}
В ПО, создаваемом проектом, СЛЕДУЕТ поддерживать безопасные протоколы для всех сетевых коммуникаций, такие как SSHv2 или новее, TLS1.2 или новее (HTTPS), IPsec, SFTP и SNMPv3. По умолчанию СЛЕДУЕТ отключать небезопасные протоколы, такие как FTP, HTTP, telnet, SSLv3 или более ранние версии, и SSHv1, и разрешать их только в том случае, если пользователь явным образом это задаёт. Если программное обеспечение, созданное проектом, не поддерживает сетевые коммуникации, выберите «неприменимо» (N/A). {Разрешено N/A} {Требуется обоснование выполнения} ^{[crypto_used_network]}
Если ПО, создаваемое проектом, поддерживает или использует TLS, ему СЛЕДУЕТ поддерживать как минимум версию TLS 1.2. Примечание: предшественник TLS называется SSL. Если программное обеспечение не использует TLS, выберите «неприменимо» (N/A). {Разрешено N/A} {Требуется обоснование выполнения} ^{[crypto_tls12]}
В ПО, создаваемом проектом, НЕОБХОДИМО выполнять проверку сертификата TLS по умолчанию при использовании TLS, в том числе в подресурсах. Если программное обеспечение не использует TLS, выберите «неприменимо» (N/A). {Разрешено N/A} {Требуется обоснование выполнения} ^{[crypto_certificate_verification]}
В ПО, создаваемом проектом, НЕОБХОДИМО, если поддерживается TLS, выполнять проверку сертификата TLS по умолчанию при использовании TLS, в том числе в подресурсах. Если программное обеспечение не использует TLS, выберите «неприменимо» (N/A). {Разрешено N/A} {Требуется обоснование выполнения} ^{[crypto_verification_private]}

Безопасный выпуск

Проект ОБЯЗАН криптографически подписывать выпуски результатов проекта, предназначенные для широкого использования, и ОБЯЗАН иметь задокументированный процесс, объясняющий пользователям, как они могут получить общедоступные ключи подписи и проверить подпись(и) выпусков. НЕДОПУСТИМО размещать закрытый ключ для этих подписей на сайте(сайтах), используемом для прямого распространения ПО для общественности. Выберите «неприменимо» (N/A), если выпуски не предназначены для широкого использования. {Требуется обоснование N/A} {Требуется обоснование выполнения} ^{[signed_releases]}
ЖЕЛАТЕЛЬНО, чтобы в системе контроля версий каждый важный тег версии (тег, который является частью основного выпуска, минорной версии или исправляет общедоступные уязвимости) подписывался криптографической подписью и поддавался проверке, как описано в критерииsigned_releases. {Требуется обоснование выполнения} ^{[version_tags_signed]}

Другие вопросы безопасности

В результатах проекта НЕОБХОДИМО проверять любой ввод из потенциально ненадежных источников, чтобы убедиться, что они действительны (*белый список*), и отклонять недействительный ввод, если вообще есть какие-либо ограничения на данные. {Требуется обоснование N/A} {Требуется обоснование выполнения} ^{[input_validation]}
В ПО, создаваемом проектом, СЛЕДУЕТ использовать механизмы упрочнения безопасности (hardening), чтобы дефекты программного обеспечения с меньшей вероятностью приводили к уязвимостям в безопасности. {Требуется обоснование N/A} {Требуется обоснование выполнения} ^[hardening]
Проект ОБЯЗАН предоставить обоснование того, что требования безопасности соблюдаются проектом. В обоснование НЕОБХОДИМО включить: описание модели угроз, четкое указание границ доверия, доказательство того, что использовались принципы безопасного дизайна, и доказательство того, что слабости в безопасности реализации нейтрализованы. {Требуется URL выполнения} ^{[assurance_case]}

Анализ

Статический анализ кода

Проект ОБЯЗАН использовать хотя бы один инструмент статического анализа с правилами или подходами для поиска распространенных уязвимостей в анализируемом языке или окружении, если есть хотя бы один инструмент на СПО, который может реализовать этот критерий на выбранном языке. {Требуется обоснование N/A} {Требуется обоснование выполнения} ^{[static_analysis_common_vulnerabilities]}

Динамический анализ кода

Если ПО, создаваемое проектом, включает ПО, написанное с использованием небезопасного языка (например, C или C++), тогда проект ОБЯЗАН регулярно использовать хотя бы один динамический инструмент (например, фаззер или сканер веб-приложения) в сочетании с механизмом для обнаружения проблем безопасности памяти, таких как перезапись буфера. Выберите «неприменимо» (N/A), если проект не создает ПО, написанное на небезопасном языке. {Требуется обоснование N/A} {Требуется обоснование выполнения} ^{[dynamic_analysis_unsafe]}