一位Go語言庫維護(hù)者呼吁開發(fā)者關(guān)閉GitHub的Dependabot功能，認(rèn)為這個(gè)依賴掃描工具產(chǎn)生的誤報(bào)會(huì)"因警報(bào)疲勞而降低安全性"。

曾負(fù)責(zé)Google Go安全團(tuán)隊(duì)的Filippo Valsorda，目前維護(hù)著Go標(biāo)準(zhǔn)庫中的加密包。上周，他為自己維護(hù)的庫filippo.io/edwards25519發(fā)布了一個(gè)安全修復(fù)，該庫用于EdDSA（Edwards曲線數(shù)字簽名算法）加密。結(jié)果，Dependabot針對"未受影響的代碼庫開啟了數(shù)千個(gè)拉取請求"，Valsorda表示。

這個(gè)自動(dòng)化流程還生成了Valsorda所稱的"毫無意義的虛構(gòu)CVSS v4評分"，并警告開發(fā)者兼容性評分為73%，暗示有27%的代碼破壞風(fēng)險(xiǎn)，盡管修復(fù)只是"在無人使用的方法中修改了一行代碼"。

依賴這個(gè)庫最常見的原因是Go MySQL數(shù)據(jù)庫驅(qū)動(dòng)程序使用了它，但由于并未調(diào)用被修改的函數(shù)（MultiScalarMult），因此不受影響。Valsorda稱GitHub這個(gè)工具是"噪音制造機(jī)"，建議將其關(guān)閉。

Dependabot最初是第三方工具，GitHub于2019年5月收購了它。它使用GitHub咨詢數(shù)據(jù)庫中的數(shù)據(jù)，在包含已列出漏洞依賴項(xiàng)的代碼庫中自動(dòng)生成拉取請求和安全警報(bào)。

Valsorda表示，Dependabot既過于嘈雜，又無法充分發(fā)揮其用途。說它過于嘈雜，是因?yàn)樗坪踔粰z查依賴項(xiàng)是否存在，而不檢查受影響的函數(shù)或代碼路徑是否真正被使用。

"任何像樣的漏洞掃描器至少都會(huì)基于包進(jìn)行過濾，"他說。此外，他建議使用像govulncheck這樣的靜態(tài)分析工具（針對Go漏洞情況），它能識別缺陷的可達(dá)性。

Valsorda補(bǔ)充說，盡管存在噪音問題，Dependabot也是不夠的，因?yàn)檎嬲穆┒?應(yīng)該評估其影響：生產(chǎn)環(huán)境可能需要更新，密鑰需要輪換，用戶需要通知"。如果開發(fā)者依賴Dependabot來管理依賴漏洞，那么他們做得還不夠。

Valsorda還不喜歡Dependabot的另一個(gè)功能：保持依賴項(xiàng)更新到最新版本。他認(rèn)為依賴項(xiàng)應(yīng)該根據(jù)項(xiàng)目的開發(fā)周期進(jìn)行更新，而不是每當(dāng)包出現(xiàn)新版本時(shí)就更新。如果惡意代碼被添加到包中，快速更新也會(huì)帶來一些風(fēng)險(xiǎn)。

他建議在沙箱化的持續(xù)集成過程中測試更新的包，以便在不更新生產(chǎn)代碼的情況下發(fā)現(xiàn)任何問題。

Hacker News上關(guān)于這個(gè)話題的討論發(fā)現(xiàn)人們普遍同意Valsorda的觀點(diǎn)，盡管客戶可能不理解其中的細(xì)節(jié)。

"客戶會(huì)用這些工具掃描你的代碼，他們不會(huì)接受'我們從未調(diào)用過那個(gè)函數(shù)'這樣的答案……這就是實(shí)際安全性開始真正偏離我們以安全名義開發(fā)的實(shí)踐的地方，"一條評論說。

也有觀點(diǎn)認(rèn)為，Dependabot的價(jià)值因其替代方案而異。Go生態(tài)系統(tǒng)在依賴檢查方面設(shè)置得很好，Valsorda描述了開發(fā)者可以使用的其他工具和流程。在其他情況下，當(dāng)資源有限且沒有明顯替代方案時(shí)，Dependabot可能比忽略它所解決的問題要好。

Q&A

Q1：Dependabot是什么工具？

A：Dependabot是GitHub收購的依賴掃描工具，最初是第三方工具，2019年5月被GitHub收購。它使用GitHub咨詢數(shù)據(jù)庫中的數(shù)據(jù)，在包含已列出漏洞依賴項(xiàng)的代碼庫中自動(dòng)生成拉取請求和安全警報(bào)。

Q2：Filippo Valsorda為什么批評Dependabot？

A：Valsorda認(rèn)為Dependabot既過于嘈雜又功能不足。它只檢查依賴項(xiàng)是否存在，不檢查受影響的函數(shù)是否真正被使用，導(dǎo)致大量誤報(bào)。同時(shí)它無法充分評估真正漏洞的影響，不能替代完整的安全評估流程。

Q3：有什么替代Dependabot的更好方案？

A：Valsorda建議使用靜態(tài)分析工具如govulncheck來識別漏洞的可達(dá)性，這類工具至少會(huì)基于包進(jìn)行過濾。同時(shí)建議在沙箱化的持續(xù)集成過程中測試更新的包，根據(jù)項(xiàng)目開發(fā)周期而不是包更新頻率來管理依賴項(xiàng)更新。