OpenSSF 新进展：推出工具和数据集 CVE 基准，建立安全评分卡-低调大师

OpenSSF 新进展：推出工具和数据集 CVE 基准，建立安全评分卡

2021-02-03 696

2020 年，Linux 基金会宣布与多家硬件和软件厂商合作，共同成立了开源安全基金会（OpenSSF），旨在提升开源软件安全性。自成立以来，开源安全基金会（OpenSSF）社区也一直在致力于帮助开发人员使用和共享具有主动处理安全性的高质量软件。

目前，该基金会已经更新了其 2021 年 1 月工作进展，其中包括发布了工具和数据集的 CVE 基准；并建立了安全评分卡，可以自动生成“安全评分”等内容。

其工作组进度的最近更新具体如下：

确保关键项目的安全

该工作组着重于了解哪些开源软件项目最为关键，以便可以相应地对安全工作进行优先级排序。该小组正在制定关键性评分，并为哈佛大学和 Linux 基金会撰写的 2020 年 FOSS 贡献者调查报告做出了贡献。

安全工具

此工作组提供的最新工具是工具和数据集的 CVE 基准。它使用一系列静态应用程序安全测试（SAST）工具分析了现实世界的代码库中的 200 多个 JavaScript/TypeScript 历史漏洞。

确定安全威胁

该小组已在针对开源项目的安全度量仪表板上取得进展。安全度量仪表板的早期版本已向工作组演示。

漏洞披露

该小组正在开发用户角色，以关注当前实践中的差距，并评估当今社区中正在使用的漏洞管理实践和标准。

最佳实践

该小组已经建立了安全记分卡，可以通过对 OSS 项目进行大量检查来自动生成一个“安全分数”。它易于理解、完全自动化、使用客观标准，有能力在整个开放源码软件生态系统中提高人们的认识，激励项目改善其安全状况。

该小组还正在开发参考架构和有关工作小组项目的核心组成部分和关系的教育性介绍；与 OWASP 安全知识框架（SKF）合作，提供有关最佳实践和实验室的信息，以便在各种编程语言中尝试这些做法，并通过国际化改进 CII 最佳实践徽章，其中包括更多的中文翻译人员和斯瓦希里语的初步进展。

更多详情可查看官方公告：https://openssf.org/blog/2021/01/28/jan_2021_announcement/

延伸阅读：

微信关注我们

原文链接：https://www.oschina.net/news/128813/openssf-jan-2021

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

每日一博 | 随机数大家都会用，但是你知道生成随机数的算法吗？

点击上方蓝字，关注并星标，和我一起学技术。今天我们来和大家聊聊随机数。大家如果学过编程对于随机数应该都不陌生，应该或多或少都用到过。再不济我们每周的抽奖都是用随机数抽出来的，我们用随机数的时候，往往都会加一个前缀，说它是伪随机数，那么这个伪随机数的伪字该怎么解释，什么又是真随机数呢？真伪随机数目前学界划分真伪随机数的方式非常简单，一句话就能说明白，凡是用一定的算法使用程序生成的都是伪随机数，通过物理现象产生的随机数才是真随机数。也就是说计算学家们已经证明了仅仅依靠算法是无法生成真随机数的，也可以认为这是一个NP问题。算法生成的都是伪随机数的证明太过复杂我们可以不去深究，但是什么又叫做物理现象产生的随机数呢？其实也很简单，举个很简单的例子就是抛硬币和掷骰子。当然物理现象不止这些，比如还有电子元件的噪音、元素的衰变等等。真假随机数之间的最大差别在哪里？其实就在是否可以预测上。计算机算法得出的各种随机数之所以是伪随机数是因为它们的结果都是可以预测的，只要我们知道算法和起始状态以及各种参数，就可以预测下一次随机出来的结果。而真随机数则无法预测，就是纯粹随机的。但问题来了，抛硬币和...

2021-02-03

519

PySnooper 在 GitHub 上自嘲是一个“乞丐版”调试工具（poor man's debugger）。一般情况下，在编写 Python 代码时，如果想弄清楚为什么 Python 代码没有按照预期执行、哪些代码在运行哪些没在运行、局部变量又是什么，我们会使用包含断点和观察模式等功能的调试器，或者直接使用 print 语句打印出来。但上面的方法都比较麻烦，例如使用调试器需要进行繁琐的设置，使用 print 打印也要很仔细。与它们相比，使用PySnooper 只需为要调试的函数添加一个装饰器即可，这样就能获得运行函数详细的 log，包括执行的代码行和执行时间，以及局部变量发生变化的确切时间。之所以称为“乞丐版”，相信是因为 PySnooper 使用起来十分简单，开发者可以在任何庞大的代码库中使用它，而无需进行任何设置。只需添加装饰器，并为日志输出地址指定路径。示例下面的代码写了一个函数将传入的值转换为二进制码，并返回一个二进制列表。要使用 PySnooper，只需为函数添加 @pysnooper.snoop()装饰器即可： import pysnooper @p...

2021-02-03

582

资源下载

更多资源

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。