Le due versioni sono allineate blocco per blocco, nell’ordine del testo: titolo, l’essenziale, poi paragrafo per paragrafo. Quando la traduzione ha fuso o diviso un paragrafo, la casella corrispondente resta vuota — non accostiamo mai due passaggi a occhio.
Mehr als 238.000 Meldungen über schädliche Pakete liegen inzwischen in einer öffentlichen Datenbank der Open Source Security Foundation (OpenSSF). Gestartet war das Repository malicious-packages 2023 mit mehr als 15.000 Einträgen. Es wird von einer Community gepflegt und verwendet das Format OSV, das Open-Source-Vulnerability-Format, also eine einheitliche Beschreibung bekannter Sicherheitslücken und Schadsoftware in Software-Paketen. Ende Juli kündigte GitHub an, diese Daten in seine eigene Advisory Database zu übernehmen.
Oltre 238.000 segnalazioni su pacchetti dannosi si trovano ormai in un database pubblico della Open Source Security Foundation (OpenSSF). Il repository malicious-packages era partito nel 2023 con più di 15.000 voci. È mantenuto da una comunità e utilizza il formato OSV, l'Open Source Vulnerability Format, cioè una descrizione uniforme delle vulnerabilità note e dei software dannosi nei pacchetti. A fine luglio GitHub ha annunciato di voler integrare questi dati nella propria Advisory Database.
Bislang gab es Malware-Warnungen von GitHub nur für Pakete des npm-Ökosystems, also für JavaScript-Bibliotheken. Seit der Ankündigung deckt der Konzern acht Paket-Ökosysteme ab: crates.io (Rust), Go, Maven, NuGet, npm, PHP Composer, PyPI (Python) und RubyGems. Die eigenen Erkennungsmethoden für all diese Sprachen aufzubauen, hätte nach Einschätzung von Ankit Kumar Honey, Senior Engineering Manager bei GitHub und Leiter des Dependabot-Teams, Jahre gedauert. GitHub griff deshalb auf eine vorhandene Quelle zurück. Honey formulierte es so: „Unterdessen hat OpenSSF das Aggregationsproblem bereits für alle gelöst.“
Finora gli avvisi di malware di GitHub riguardavano solo i pacchetti dell'ecosistema npm, cioè le librerie JavaScript. Dall'annuncio il gruppo copre otto ecosistemi di pacchetti: crates.io (Rust), Go, Maven, NuGet, npm, PHP Composer, PyPI (Python) e RubyGems. Secondo Ankit Kumar Honey, Senior Engineering Manager di GitHub e responsabile del team Dependabot, sviluppare metodi di rilevamento propri per tutti questi linguaggi avrebbe richiesto anni. GitHub ha quindi attinto a una fonte già disponibile. Honey lo ha detto così: «Nel frattempo OpenSSF ha già risolto il problema dell'aggregazione per tutti».
Für den Import hat GitHub ein eigenes Werkzeug gebaut. Es prüft die Meldungen, vereinheitlicht die Datensätze und verarbeitet zurückgezogene Advisories. Doppelte Importe der eigenen GitHub-Beiträge verhindert es. Als Schutzmaßnahmen nennt GitHub Obergrenzen für Import-Batches, die Rückverfolgbarkeit bis zu den Upstream-Commits und die Möglichkeit, ganze Batches zurückzurollen.
Per l'importazione GitHub ha realizzato un proprio strumento. Verifica le segnalazioni, uniforma i set di dati ed elabora gli advisory ritirati. Impedisce inoltre le importazioni duplicate dei propri contributi GitHub. Come misure di protezione GitHub indica limiti massimi per i batch di importazione, la tracciabilità fino ai commit upstream e la possibilità di annullare interi batch.
Für Entwicklerteams heißt das: Wer Dependabot nutzt, den GitHub-Dienst zur Überwachung der Abhängigkeiten eines Projekts, kann Warnungen zu schädlichen Paketen abrufen. Sie sind opt-in, also freiwillig, und müssen in jedem Repository zusätzlich eingeschaltet werden. Organisationen und Enterprises können sie über Security Configurations gesammelt einführen. Wer die Malware-Warnungen bereits aktiviert hat, erhält die erweiterte Abdeckung automatisch. Zudem lassen sich die Meldungen in der Advisory Database mit dem Filter type:malware finden.
Per i team di sviluppo ciò significa: chi usa Dependabot, il servizio GitHub per il monitoraggio delle dipendenze di un progetto, può ricevere avvisi su pacchetti dannosi. Sono opt-in, cioè facoltativi, e vanno attivati separatamente in ogni repository. Le organizzazioni e le enterprise possono introdurli in blocco tramite le Security Configurations. Chi ha già attivato gli avvisi di malware riceve automaticamente la copertura estesa. Inoltre le segnalazioni si possono trovare nella Advisory Database con il filtro type:malware.
Zwei Grenzen gibt es. Teilt ein internes Paket seinen Namen mit einem schädlichen öffentlichen Paket, kann es zu Fehlalarmen kommen. Sie lassen sich mit Auto-Triage-Regeln für Dependabot reduzieren. Dabei ist Vorsicht geboten: Die vorgefertigte Regel „Dismiss package malware alerts“ ist standardmäßig deaktiviert, verwirft aber auch Warnungen zu Abhängigkeiten, die in allen Versionen tatsächlich schädlich sind. Die Zahlen stammen von der OpenSSF und GitHub selbst; unabhängige Messungen dazu, wie viele Schadpakete die Datenbank erfasst, liegen in den Unterlagen nicht vor.
I limiti sono due. Se un pacchetto interno condivide il nome con un pacchetto pubblico dannoso, possono verificarsi falsi allarmi. Questi si possono ridurre con regole di auto-triage per Dependabot. Occorre però prestare attenzione: la regola predefinita «Dismiss package malware alerts», di default disattivata, scarta anche gli avvisi su dipendenze che in tutte le versioni sono effettivamente dannose. I numeri provengono dalla stessa OpenSSF e da GitHub; nella documentazione non sono disponibili misurazioni indipendenti sul numero di pacchetti dannosi censiti dal database.