AuraBorealisApp

Auraborealis: คุณรู้หรือไม่ว่ามีอะไรอยู่ในแพ็คเกจ Python ของคุณ?

เกี่ยวกับ

Auraborealis เป็นเว็บแอปพลิเคชันสำหรับการแสดงภาพรหัสผิดปกติและอาจเป็นอันตรายในการลงทะเบียนแพ็คเกจ Python มันใช้ข้อมูลการตรวจสอบความปลอดภัยที่ผลิตโดยการสแกนดัชนีแพ็คเกจ Python (PYPI) ผ่าน Aura การวิเคราะห์แบบคงที่ที่ออกแบบมาสำหรับการตรวจสอบความปลอดภัยขนาดใหญ่ของแพ็คเกจ Python เครื่องมือปัจจุบันเป็นหลักฐานพิสูจน์แนวคิดและรวมถึงข้อมูลออร่าสดบางอย่างรวมถึงข้อมูลจำลองบางอย่างเพื่อวัตถุประสงค์ในการสาธิต

คุณสมบัติปัจจุบัน ได้แก่ :

• การสแกน Registry แพ็คเกจ Python ทั้งหมดเป็น:

  • รายการแพ็คเกจที่มีจำนวนคำเตือนความปลอดภัยสูงสุดเรียงตามประเภทคำเตือนออร่า
  • รายการแพ็คเกจที่จัดเรียงตามจำนวนคำเตือนทั้งหมดและไม่ซ้ำกัน
  • รายการแพ็คเกจโดยคะแนนความรุนแรงโดยรวมของพวกเขา

• การแสดงคำเตือนความปลอดภัยสำหรับแพ็คเกจแต่ละตัวเรียงลำดับตามวิกฤต

• แสดงภาพหมายเลขบรรทัดและบรรทัดของรหัสในไฟล์ที่สร้างคำเตือนความปลอดภัยสำหรับแพ็คเกจเฉพาะ

• เปรียบเทียบสองแพ็คเกจสำหรับคำเตือนความปลอดภัย

คำแนะนำ

เปิด VPN ของคุณ (ที่ IQT)

โคลนที่เก็บ

git clone https://github.com/IQTLabs/AuraBorealisApp.git

นำทางไปยังไดเรกทอรี Aura-Borealis-Flask-App

cd aura-borealis-flask-app

ติดตั้งการพึ่งพา

pip install -r requirements.txt

เรียกใช้แอพ

python app.py

นำทางไปยัง URL http://0.0.0.0:7000/ ผ่านเบราว์เซอร์

ฟีเจอร์โรดแมป

• เปรียบเทียบแพ็คเกจกับ โปรไฟล์มาตรฐาน ของแพ็คเกจที่มีวัตถุประสงค์คล้ายกันสำหรับคำเตือนความปลอดภัย
• เปรียบเทียบแพ็คเกจเดียวกันเวอร์ชันที่แตกต่างกันสำหรับคำเตือนความปลอดภัย
• รายการแพ็คเกจที่มีการเปลี่ยนแปลงในคำเตือนและ/หรือคะแนนความรุนแรงระหว่างสองวันที่
• ความสามารถในการสแกนแพ็คเกจ/รีจิสทรีภายในที่ไม่เปิดเผยต่อสาธารณะใน PYPI
• แสดงการวิเคราะห์การอนุญาต (แพ็คเกจนี้สร้างการเชื่อมต่อเครือข่ายหรือไม่แพ็คเกจนี้ต้องการสิทธิ์ในการใช้ไลบรารีระดับปฏิบัติการหรือไม่)

ข้อมูลติดต่อ

[email protected] (John Speed ​​Meyers, IQT Labs, Secure Code Reuse Project Project Lead)

นักพัฒนานำและผู้สร้างออร่าคือ Martin Carnogusky แห่ง Sourcecode.ai

งานที่เกี่ยวข้อง

• โพสต์บล็อก IQT บนรหัสที่ปลอดภัยนำกลับมาใช้ซ้ำ
• โพสต์บล็อก IQT เกี่ยวกับการพิมพ์ผิดและป้องกันการพิมพ์ผิดผ่าน PYPI-scan
• บทความ USENIX เกี่ยวกับ "การนับลิงก์ที่เสีย: มุมมองของ Quant เกี่ยวกับความปลอดภัยของห่วงโซ่อุปทานซอฟต์แวร์"
• ชุดข้อมูลโอเพ่น