谷歌又開源一項神器:Scorecards

2020-12-21 電子發燒友

谷歌又開源一項神器：Scorecards

開源最前線 發表於 2020-12-15 17:52:17

當開發人員或組織將新的開源依賴項引入其生產軟體時，你很難知道這個軟體包的安全性有多高。   某些企業/組織擁有合適的系統和流程，開發者們在引入新的開原始碼依賴項時必須嚴格遵守這些流程規範，但是該流程可能很繁瑣，手動還容易出錯，此外，這些項目和開發人員中的許多人都受到資源的限制，對安全性的重視度不夠，這將直接導致項目沒法遵循良好的安全實踐，從而容易遭受攻擊。

 

為了解決以上問題，谷歌開發了名為「Scorecards」的新項目，並在上周由開源安全基金會 (OpenSSF) 宣布開源。   自2020年8月成立以來，Scorecards是OpenSSF下發布的首批項目之一。Scorecards旨在為開源項目自動生成「安全評分」，從而幫助用戶評估該項目的可信度、風險係數和安全係數等。Scorecards定義了初始評估標準，該標準將以完全自動化的方式為開源項目打分。Scorecards使用的評估指標包括定義明確的安全策略，每個安全檢查返回一個布爾值以及信任度分數。以後，谷歌將通過OpenSSF的社區貢獻來改進這些指標。   Scorecards詳細的檢查標準如下所示：

運行Scorecards，你只需要一個參數，那就是倉庫名稱：

$ go build $ ./scorecard --repo=github.com/kubernetes/kubernetes Starting [Active] Starting [CI-Tests] Starting [CII-Best-Practices] Starting [Code-Review] Starting [Contributors] Starting [Frozen-Deps] Starting [Fuzzing] Starting [Pull-Requests] Starting [SAST] Starting [Security-Policy] Starting [Signed-Releases] Starting [Signed-Tags] Finished [Fuzzing] Finished [CII-Best-Practices] Finished [Frozen-Deps] Finished [Security-Policy] Finished [Contributors] Finished [Signed-Releases] Finished [Signed-Tags] Finished [CI-Tests] Finished [SAST] Finished [Code-Review] Finished [Pull-Requests] Finished [Active] RESULTS ------- Active: Pass 10 CI-Tests: Pass 10 CII-Best-Practices: Pass 10 Code-Review: Pass 10 Contributors: Pass 10 Frozen-Deps: Pass 10 Fuzzing: Pass 10 Pull-Requests: Pass 10 SAST: Fail 0 Security-Policy: Pass 10 Signed-Releases: Fail 10 Signed-Tags: Fail 5

建議使用OAuth授權避免速率限制，你可以按照說明創建一個，將訪問指令設置為環境變量：

export GITHUB_AUTH_TOKEN=

如果你也對Scorecard感興趣，不妨嘗試一下。

原文標題：谷歌又開源一項神器，用開源項目的人都需要

文章出處：【微信公眾號：人工智慧與大數據技術】歡迎添加關注！文章轉載請註明出處。

責任編輯：haq

打開APP閱讀更多精彩內容

聲明：本文內容及配圖由入駐作者撰寫或者入駐合作網站授權轉載。文章觀點僅代表作者本人，不代表電子發燒友網立場。文章及其配圖僅供工程師學習之用，如有內容圖片侵權或者其他問題，請聯繫本站作侵刪。 侵權投訴

相關焦點

  • 谷歌推出為開源項目重要性「打分」的項目
    繼宣布推出一個為開源項目安全性「打分」的 Scorecards 項目後，谷歌方面又宣布推出了一個衡量開源項目「重要性」的項目 —
  • 谷歌在開源社區揭露了舊傷口
    導讀：這代表著管理開源項目代碼和項目商標/ IP的明顯分歧。上周，谷歌的公告及其引起的焦慮使原本相當穩定的環境變得不安，該環境曾幫助開源軟體成為開發和IT中的主導力量。谷歌與OUC攜手合作，還宣布將改變Istio項目的董事會組成。根據公司貢獻的代碼以及其他貢獻者社區選擇的社區席位的新公式將決定誰來管理項目。總而言之，這代表著管理項目代碼和項目商標/ IP的明顯分歧。這不是開源中的新概念，但是近年來很少使用。
  • B 站 up 主開源視頻字幕自動翻譯神器!
    如果你回答「是」，那麼今天 推薦的這款開源工具，興許能拯救你於水深火熱之中。不久前，一位朋友突然給我分享了一個 B 站視頻，起初我沒怎麼在意，不料當我到了晚上打開一看的時候，心情立刻變得激動萬分，這 TM 的就是我夢寐以求的翻譯神器啊！並且它還是開源的！在稍作整理之後，小 G 打算今天好好跟大家介紹一下。
  • 谷歌計劃用 Chromium 開源項目修復 Chrome 瀏覽器的內存佔用問題
    打開APP 谷歌計劃用 Chromium 開源項目修復 Chrome 瀏覽器的內存佔用問題 騎士 發表於 2020-12-23 09:33:31
  • LEO晚報 谷歌開源人工智慧工具 SyntaxNet
    Arts & Culture引入360°視頻，帶你逛遍世界的博物館穀歌近日稱，將免費開放一個名為Parsey McParseface的程序代碼，供公眾分發或修改，以幫助機器理解書面英語。這個程序是谷歌將免費開放的一套更大軟體編程工具SyntaxNet的一部分。SyntaxNet項目經理奧爾稱，谷歌希望人們使用這個程序，而不是自己進行開發。SyntaxNet是大型科技公司根據開源許可發布的眾多人工智慧軟體系統中的最新一個，可幫助機器將句子分解為不同詞性的句子成分，解碼詞語和短語之間的關係。
  • 谷歌正式公布開源Fuchsia系統,號召開發者參與,鴻蒙要輸了?
    谷歌公布了開源Fuchsia作業系統？可能絕大部分人看到這裡，會在風中凌亂：這是什麼作業系統？還是由谷歌發布的？等到這次谷歌正式公開開源Fuchsia作業系統，號召所有開發者做貢獻的時候，沉寂了多年的它又浮出了水面。基於很多用戶不了解它，韓博士就先給大家介紹一波。什麼是開源Fuchsia作業系統？
  • 擊敗谷歌AI拿下「最強」稱號?Facebook AI開源聊天機器人Blender
    為了改善這一問題，Facebook AI 近日就公布了一項最新研究成果：擁有 94 億參數的開源 AI 聊天機器人 Blender。Facebook 研究人員聲稱，Blender 是迄今為止「最先進的」聊天機器人，可以以有趣和連續互動的方式討論幾乎所有內容。
  • 移動端實時3D目標檢測,谷歌開源出品,安卓下載就能用
    >選自Google AI Blog作者：Adel Ahmadyan、Tingbo Hou機器之心編譯機器之心編輯部常規目標檢測，已經不能滿足移動端了，谷歌開源的今日，谷歌宣布推出 MediaPipe Objectron，這是一種適用於日常物體的移動端實時 3D 目標檢測 pipeline，它能夠檢測 2D 圖像中的目標，並通過新創建 3D 數據集上訓練的機器學習模型來估計這些目標的姿態和大小。
  • 谷歌高效開發的秘密:來自谷歌前員工的軟體開發工具指南
    Gerrit 最早是 Rietveld 的一個分支，而 Rietveld 本身是谷歌最初代碼審核工具 Mondrian 的一個開源分支。因為工具線的傳承，二者看上去非常相似，設計用於創建谷歌支持的代碼審核方式。Phabricator 是谷歌前員工喜歡替代 Github PR 的另一款工具。
  • 它可以下載谷歌地圖?又漲知識了!!!(附神器)
    有沒有一款神器，可以在沒有安裝Google Earth的情況下工作，幫助您從谷歌地球（不是谷歌地圖）獲取離線衛星圖塊圖像。使用教程也是英文版哦，不過如果你裝了谷歌瀏覽器，右鍵翻譯即可變成中文。最後提示：下載的時候儘量關閉殺毒軟體，不然會下不下來！
  • World biggest house of cards
    World biggest house of cards 澳門誕生撲克建築(圖)Updated: 2010-03-16 11:01World biggest house of cards澳門誕生撲克建築(圖)An American architect has broken his own Guinness World Record by
  • 業界 | 自動捕捉高光時刻:谷歌展示Google Clips全新智能攝影技術
    今年 2 月，谷歌發布了 Google Clips，這是一款全新的免持相機，可以自動捕捉生活中的有趣瞬間。在 Google Clips 的設計過程中，谷歌主要遵循以下三個重要原則：谷歌希望所有計算都在設備上運行。除了延長電池壽命和減少延遲之外，設備端處理還意味著，除保存或共享視頻之外，任何視頻都不會離開設備，這是隱私控制的關鍵一環。
  • in the cards的意思難道是「在紙牌中」?
    ⊙「in the cards」是什麼意思？⊙ "in the cards"從字面上來看，很多人會以為是「在卡片中」或「在紙牌中」的意思。如果你也這樣認為，那就是大錯特錯了！
  • Firefox瀏覽器將默認支持AVIF圖像格式 採用開源AV1編碼
    原標題：Firefox 火狐瀏覽器將默認支持 AVIF 圖像格式，教你在 84.0 版本開啟 　　12月20日消息 繼谷歌 Chrome 瀏覽器之後，Firefox 火狐瀏覽器也將默認原生支持 AVIF 圖像格式。
  • Firefox瀏覽器將默認支持AVIF圖像格式 採用開源AV1編碼_華強北...
    12月20日消息 繼谷歌 Chrome 瀏覽器之後，Firefox 火狐瀏覽器也將默認原生支持 AVIF 圖像格式。外媒 phoronix 報導，開源瀏覽器火狐的開發頁面上出現了一條新的更新，表示將為瀏覽器內核默認開啟 AVIF 格式的支持。（此前為默認關閉）
  • In the cards的意思難道是「在紙牌中」?
    "In the cards"從字面上來看，很多小夥伴會以為是「在卡片中」或者「在紙牌中」的意思。 如果你也這樣認為，那就是大錯特錯了！
  • Fuchsia 二次發育,正式進入開源開發模式
    Fuchsia 是谷歌四年前就宣布的開源跨端作業系統項目，但之前一直沒有開放社區開發，而是在谷歌內部開發。
  • 數十億次數學運算只消耗幾毫瓦電力,谷歌開源Pixel4背後視覺模型
    為了最有效地利用搜索空間，谷歌依次部署了兩種技術：MnasNet 和 NetAdapt。首先，MnasNet 使用強化學習從一組離散的選項中選擇出最優配置，從而找到一個粗糙的架構。然後，谷歌使用 NetAdapt 對體系結構進行微調，NetAdapt 是一種補充性技術，可以對未充分利用的激活通道進行微調。為了得到在不同條件下的最佳性能，谷歌分別生成了大型模型和小型模型。
  • 華為的災難揭示了谷歌對安卓系統的鐵腕控制
    谷歌的安卓系統被認為是一個開放的，免費的，除了iPhone以外的任何人都可以使用的系統。國內手機軟體也都是採用安卓系統。然而，為了遵守美國政府最近的一項命令，谷歌撤銷了中國科技公司和智慧型手機製造商華為（Huawei）的許可，允許其使用安卓系統上的谷歌專有軟體。在這樣做的過程中，谷歌悄悄地暴露了它對其所謂開放的手機生態系統的強大控制力。
  • 谷歌 AI 開源 Deepfake 檢測數據集,3000+ 真人...
    谷歌希望能夠通過這些視頻數據，更好的維護整個社會的網絡安全環境，並使得開發者能夠利用這些數據，開發新的 Deepfake 檢測工具，更高效地識別 Deepfake 假視頻。谷歌在博客上發表了相應的文章來介紹這一數據集，雷鋒網 AI 開發者將其整理編譯如下。Deepfake 視頻檢測數據集背景近幾年來，深度學習的發展催生了曾經被認為不可能實現的技術。