Desde 2023, la Python Software Foundation ha tenido un desarrollador en residencia de seguridad (patrocinado por el plan “Alpha-Omega” de la Fundación de Seguridad de Open Source Security Foundation). Y acaba de anunciar un Nuevo papel blanco de 11 páginas sobre el problema de “dependencias fantasmas” de Open Source, lo que sugiere una forma de resolverlo.

Las dependencias “Phantom” no se rastrean con metadatos de empaque, manifiestas o archivos de interrupción, lo que las hace “no descubiertas” por herramientas como escáneres de vulnerabilidad o herramientas de cumplimiento y políticas. Entonces, el desarrollador de seguridad de Python, Seth Larson, escribió un recientemente aceptado Propuesta de progreso de Python Ofreciendo una guisa sencillo para que los paquetes proporcionen metadatos a través de la disposición de materiales de software (SBOMS). Del documento técnico:

Propuesta de progreso de Python 770 es compatible con retroceso y puede habilitarse de forma predeterminada por herramientas, lo que significa que la mayoría de los proyectos no necesitarán optar manualmente para comenzar a producir metadatos PEP 770 SBOM válidos. Python no es el único ecosistema de paquetes de software afectado por el problema de “dependencia aparición”. El enfoque que utiliza SBOMS para metadatos puede ser remezclado y prohijado por otros ecosistemas de empaque que buscan registrar metadatos de software descreído de ecosistemas …

En el interior Referencia de Endor Labs (2023 dependencias)Python es famoso como uno de los ecosistemas de empaque más afectados por el problema de la “dependencia aparición”. Hay múltiples razones por las que Python está particularmente afectado:

-Existen muchos métodos para interactuar con Python con software que no es de Python, como a través del C-API o FFI. Python puede “envolver” y exponer una API de Python sencillo de usar para el software escrito en otros idiomas como C, C ++, Rust, Fortran, Web Webs y más.

– Python es el estilo principal para la informática científica y la inteligencia sintético, lo que significa que se deben lograr a muchas bibliotecas de parada rendimiento escritas en lenguajes del sistema desde el código Python.

– Finalmente, los paquetes de Python tienen un tipo de distribución llamado “rueda”, que es esencialmente un archivo zip que está “instalado” al desactivarse en un directorio, lo que significa que no se permite el paso de compilación durante la instalación. Esto es ideal para poder inspeccionar un paquete antiguamente de la instalación, pero significa que todos los idiomas compilados deben ser precompilados en binarios antiguamente de la instalación …

Al diseñar un nuevo en serie de metadatos de paquete, una de las principales preocupaciones es achicar la cantidad de esfuerzo requerido de los mantenedores de voluntarios en su mayoría de herramientas de embalaje y los miles de proyectos que se publican en el índice de paquetes de Python … al determinar los metadatos de PEP 770 SBOM como utilizando un directorio de archivos, en ocupación de un nuevo campo de metadatos, pudimos palpitar de la implementación de todo el dolor de implementación …

Trabajaremos para remitir problemas en las populares herramientas de escaneo de vulnerabilidades de código extenso y de vulnerabilidad, y gradualmente, las dependencias fantasmas se convertirán en un problema beocio para el ecosistema de paquetes de Python.
El documento blanco “detalla el enfoque, los desafíos y las ideas sobre la creación y recibimiento de PEP 770 y la acogida de la disposición de materiales de software (SBOMS) para mejorar la medición de los paquetes de Python”, explica un Anuncio de la Python Software Foundation. Y el papel blanco termina con una nota útil.

“Habiendo hablado con otros mantenedores de ecosistemas de envases de código extenso, hemos llegado a conocer que otros ecosistemas tienen problemas similares con las dependencias fantasmas. Agradecemos a otros ecosistemas de empaque para adoptar el enfoque de Python con PEP 770 y estamos dispuestos a dedicar orientación sobre la implementación”.