Google 开源 Allstar,为 GitHub 项目持续实施最佳安全实践

如今，安全漏洞日益困扰着大型开源项目。根据 RiskSense 的统计数据，与 2018 年相比，2019 年开源软件漏洞的数量增加了一倍多。考虑到近 91% 的商业应用程序包含过时或废弃的开源组件，因此安全漏洞的影响是深远的。

作为开源软件社区的一员，Google 非常清楚软件供应链攻击对开源项目构成的威胁日益严重，而 Allstar 是其提高安全性的最新工具。

Allstar 是一款为 GitHub 项目提供自动持续执行安全最佳实践的应用程序。这款新应用的工作原理是让 GitHub 代码库中的项目所有者能够检查安全策略的遵守情况，设置所需的执行操作，然后在项目库中的设置或文件发生变更等情况时持续执行这些操作。

Allstar 是另一个同样由 Google 维护的开源工具 Scorecards 的配套产品，Scorecards 可以自动评估任何 GitHub 仓库及其依赖的风险。Scorecards 会检查诸如项目是否使用分支保护、加密签名发布工件或需要代码审查等启发式方法，并为每个类别生成一个评估后的分数，帮助用户了解哪些方面可能需要改进。

Allstar 则可以在此基础上进行接管，给项目维护者提供一个更简单的方法来实现特定安全检查的自动执行。因此，如果任何版本库没有通过安全检查，Allstar 就会自动介入，并进行它认为必要的修复，以解决这个问题。通过这个程序可以让开发人员摆脱每日重复的检查与修复工作。

Allstar 初始安全策略检查/实施包括：

1. 分支保护(针对未经批准的拉取请求、强制推送等);
2. SECURITY.md 文件的存在，其中包含用于负责任的漏洞披露的定义策略;
3. 对外部合作者执行特定要求(例如，具有仓库管理员权限的用户必须是组织内成员);
4. 如果在存储库中发现二进制工件，则进行检测并发出警报;

目前 Allstar 能够执行的安全策略检查数量还比较有限，Google 计划在未来几个月内逐步推出更多的策略 —— 包括冻结依赖和自动更新依赖。

Google 高级项目经理 Mike Maraya 表示：“简而言之，Scorecards 帮助开发者衡量项目目前的安全状况与想要达到的最终目标，而 Allstar 则帮助你达成目标。Allstar 仍处于开发的早期阶段，因此我们欢迎大家积极使用并在社区提供反馈。”

感兴趣的开发者可以访问 Allstar 的 GitHub 页面了解更多详情。