Les deux versions sont alignées bloc par bloc, dans l’ordre du texte : titre, l’essentiel, puis paragraphe par paragraphe. Quand la traduction a fusionné ou scindé un paragraphe, la case correspondante reste vide — on ne rapproche jamais deux passages au jugé.
Mehr als 238.000 Meldungen über schädliche Pakete liegen inzwischen in einer öffentlichen Datenbank der Open Source Security Foundation (OpenSSF). Gestartet war das Repository malicious-packages 2023 mit mehr als 15.000 Einträgen. Es wird von einer Community gepflegt und verwendet das Format OSV, das Open-Source-Vulnerability-Format, also eine einheitliche Beschreibung bekannter Sicherheitslücken und Schadsoftware in Software-Paketen. Ende Juli kündigte GitHub an, diese Daten in seine eigene Advisory Database zu übernehmen.
Plus de 238 000 signalements de paquets malveillants figurent désormais dans une base de données publique de l'Open Source Security Foundation (OpenSSF). Le dépôt malicious-packages, lancé en 2023 avec plus de 15 000 entrées, est entretenu par une communauté et utilise le format OSV, pour Open Source Vulnerability, c'est-à-dire une description uniforme des failles de sécurité connues et des logiciels malveillants présents dans les paquets logiciels. Fin juillet, GitHub a annoncé qu'il intégrerait ces données à sa propre Advisory Database.
Bislang gab es Malware-Warnungen von GitHub nur für Pakete des npm-Ökosystems, also für JavaScript-Bibliotheken. Seit der Ankündigung deckt der Konzern acht Paket-Ökosysteme ab: crates.io (Rust), Go, Maven, NuGet, npm, PHP Composer, PyPI (Python) und RubyGems. Die eigenen Erkennungsmethoden für all diese Sprachen aufzubauen, hätte nach Einschätzung von Ankit Kumar Honey, Senior Engineering Manager bei GitHub und Leiter des Dependabot-Teams, Jahre gedauert. GitHub griff deshalb auf eine vorhandene Quelle zurück. Honey formulierte es so: „Unterdessen hat OpenSSF das Aggregationsproblem bereits für alle gelöst.“
Jusqu'ici, GitHub ne diffusait des alertes sur les logiciels malveillants que pour les paquets de l'écosystème npm, c'est-à-dire les bibliothèques JavaScript. Depuis cette annonce, le groupe couvre huit écosystèmes de paquets : crates.io (Rust), Go, Maven, NuGet, npm, PHP Composer, PyPI (Python) et RubyGems. Selon Ankit Kumar Honey, Senior Engineering Manager chez GitHub et responsable de l'équipe Dependabot, mettre au point ses propres méthodes de détection pour l'ensemble de ces langages aurait pris des années. GitHub s'est donc appuyé sur une source existante. Honey le formule ainsi : « Entre-temps, l'OpenSSF a déjà résolu le problème de l'agrégation pour tout le monde. »
Für den Import hat GitHub ein eigenes Werkzeug gebaut. Es prüft die Meldungen, vereinheitlicht die Datensätze und verarbeitet zurückgezogene Advisories. Doppelte Importe der eigenen GitHub-Beiträge verhindert es. Als Schutzmaßnahmen nennt GitHub Obergrenzen für Import-Batches, die Rückverfolgbarkeit bis zu den Upstream-Commits und die Möglichkeit, ganze Batches zurückzurollen.
Pour cet import, GitHub a développé son propre outil. Il vérifie les signalements, uniformise les jeux de données et traite les avis retirés. Il empêche également les imports en double des contributions de GitHub elles-mêmes. Pour se protéger, GitHub mentionne des plafonds pour les lots d'import, la traçabilité jusqu'aux commits en amont et la possibilité d'annuler des lots entiers.
Für Entwicklerteams heißt das: Wer Dependabot nutzt, den GitHub-Dienst zur Überwachung der Abhängigkeiten eines Projekts, kann Warnungen zu schädlichen Paketen abrufen. Sie sind opt-in, also freiwillig, und müssen in jedem Repository zusätzlich eingeschaltet werden. Organisationen und Enterprises können sie über Security Configurations gesammelt einführen. Wer die Malware-Warnungen bereits aktiviert hat, erhält die erweiterte Abdeckung automatisch. Zudem lassen sich die Meldungen in der Advisory Database mit dem Filter type:malware finden.
Pour les équipes de développement, cela signifie que les utilisateurs de Dependabot, le service de GitHub qui surveille les dépendances d'un projet, peuvent recevoir des alertes sur les paquets malveillants. Ces alertes sont facultatives, c'est-à-dire qu'il faut les activer en plus, dépôt par dépôt. Les organisations et les entreprises peuvent les déployer de manière centralisée via Security Configurations. Les utilisateurs qui ont déjà activé les alertes sur les logiciels malveillants bénéficient automatiquement de la couverture élargie. Par ailleurs, les signalements peuvent être retrouvés dans l'Advisory Database à l'aide du filtre type:malware.
Zwei Grenzen gibt es. Teilt ein internes Paket seinen Namen mit einem schädlichen öffentlichen Paket, kann es zu Fehlalarmen kommen. Sie lassen sich mit Auto-Triage-Regeln für Dependabot reduzieren. Dabei ist Vorsicht geboten: Die vorgefertigte Regel „Dismiss package malware alerts“ ist standardmäßig deaktiviert, verwirft aber auch Warnungen zu Abhängigkeiten, die in allen Versionen tatsächlich schädlich sind. Die Zahlen stammen von der OpenSSF und GitHub selbst; unabhängige Messungen dazu, wie viele Schadpakete die Datenbank erfasst, liegen in den Unterlagen nicht vor.
Il existe deux limites. Si un paquet interne porte le même nom qu'un paquet public malveillant, des fausses alertes peuvent survenir. Elles peuvent être réduites à l'aide de règles d'auto-triage pour Dependabot. Une prudence s'impose toutefois : la règle préconfigurée « Dismiss package malware alerts » est désactivée par défaut, mais elle écarte aussi les alertes concernant des dépendances qui sont réellement malveillantes dans toutes leurs versions. Les chiffres proviennent de l'OpenSSF et de GitHub lui-même ; les documents ne contiennent pas de mesures indépendantes du nombre de paquets malveillants recensés par la base.