OSS Scanner
Descripción
Con licencia Apache-2.0 y sin coste para proyectos de código abierto, puedes inscribir un repositorio crítico y recibir por correo informes de vulnerabilidades, con pasos de reproducción y un parche propuesto cuando está disponible.
El alta en OSS Scanner consiste en un pull request que añade el directorio projects/nombre. El servicio construye el proyecto en una máquina virtual aislada —primero con red y después sin Internet— y envía los resultados al contacto principal y a las copias que indiques. Los informes los genera un modelo y no los revisa una persona: no hay periodo de divulgación de 90 días ni se publican los hallazgos.
Qué tienes que aportar
- project.yaml: repositorio Git, contacto y opciones (copias, PGP o pausar informes).
- Dockerfile: instala dependencias y construye el proyecto; todo lo que necesiten el build y los tests debe descargarse en esta fase.
- threat_model.md (recomendado): objetivos de seguridad, cómo puntuar la severidad y qué queda fuera de alcance.
Antes del PR puedes validar la carpeta con tools/validate.py y probar el build con tools/check (o la variante QEMU en Linux x86-64). Si el build falla, te llega un correo con el error. Para pausar informes marca disabled: true; para darte de baja, elimina el directorio del proyecto.
Tecnologías y temas
-
auditoría OSS
Análisis de repositorios de código abierto en busca de vulnerabilidades
-
Dockerfile
El build se define con un Dockerfile; la auditoría posterior corre sin red
-
modelo de amenazas
threat_model.md orienta severidad, alcance y formato de los informes
-
OpenPGP
Puedes cifrar los informes con tu clave pública; en ese caso no hay copias CC
-
parche propuesto
Los hallazgos pueden incluir reproducción y un parche cuando está disponible