OWASP Security Champions Guide

Проекты, которые следуют приведенным ниже лучшим практикам, могут добровольно и самостоятельно оценить себя и продемонстрировать, что они получили значок Open Source Security Foundation (OpenSSF).

Если это ваш проект, пожалуйста, покажите свой значок на странице проекта! Статус значка выглядит следующим образом: Уровень значка для проекта 9961 - in_progress Вот как вставить его:

Это критерии уровня Passing. Вы также можете просмотреть критерии уровня Silver или Gold.

        

 Основы 11/13 ●

  • Идентификация

    An open-source, vendor-neutral guidebook for AppSec professionals to help them build and improve their own successful Security Champion programs.

    Какие языки программирования используются для реализации проекта?

  • Основная информация на веб-сайте проекта


    Достаточно для значка!

    Веб-сайт проекта ОБЯЗАН кратко описывать, что делает программное обеспечение (какую проблему решает?). [description_good]

    The Security Champions Guide is described on the landing page at https://securitychampions.owasp.org/


    Недостаточно для значка.

    Веб-сайт проекта ОБЯЗАН предоставлять информацию о том, как: получать и предоставлять обратную связь (например, отчеты об ошибках или улучшения) и вносить свой вклад в программное обеспечение. [interact]

    the project needs a code of conduct and also contributing guidelines which provide style and document structure suggestions: https://owasp.org/www-project-security-champions-guidebook/contributing.md https://owasp.org/www-project-security-champions-guidebook/code_of_conduct.md


    Достаточно для значка!

    В описании того, как сделать вклад, НЕОБХОДИМО объяснить процесс внесения вклада (например, используются ли pull request'ы). (Требуется URL) [contribution]

    Projects on GitHub by default use issues and pull requests, see: https://owasp.org/www-project-security-champions-guidebook/ and https://github.com/OWASP/Security-Champions


    Едва достаточно для значка.

    В информацию о том, как внести вклад, СЛЕДУЕТ включать требования к приемлемым взносам (например, ссылку на любой требуемый стандарт кодирования). (Требуется URL) [contribution_requirements]

    the project needs a code of conduct to provide style and markdown coding standard: https://owasp.org/www-project-security-champions-guidebook/contributing.md


  • Свободная лицензия

    Под какой/какими лицензией/ями выпускается проект?


    Достаточно для значка!

    ПО, создаваемое проектом, ОБЯЗАНО быть выпущено под свободной лицензией. [floss_license]

    released under the Creative Commons Attribution 4.0 International License : https://web.archive.org/web/20230202005829/https://creativecommons.org/licenses/by/4.0/ which is an open source licence also used by the OpenSSF


    Достаточно для значка!

    ЖЕЛАТЕЛЬНО, чтобы все лицензии для ПО, создаваемого проектом, были одобрены Open Source Initiative (OSI). [floss_license_osi]

    the Creative Commons Attribution 4.0 International License : https://web.archive.org/web/20230202005829/https://creativecommons.org/licenses/by/4.0/ is an open source licence also used by the OpenSSF, although it is not listed by the OSI


    Достаточно для значка!

    Проект ОБЯЗАН публиковать лицензию или лицензии своих результатов в стандартном расположении в своем репозитории исходного кода. (Требуется URL) [license_location]

    Non-trivial license location file in repository: https://github.com/OWASP/www-project-security-champions-guidebook/blob/main/license.txt.


  • Документация


    Достаточно для значка!

    Проект ОБЯЗАН предоставлять базовую документацию для программного обеспечения, создаваемого проектом. [documentation_basics]

    The Security Champions Guide project documentation is on the OWASP project site: https://owasp.org/www-project-security-champions-guidebook/


    Не хватает обязательной информации, недостаточно для значка.

    Проект ОБЯЗАН предоставлять справочную документацию, описывающую внешний интерфейс (как входной, так и выходной) программного обеспечения, создаваемого проектом. [documentation_interface]

  • Другое


    Достаточно для значка!

    Сайты проекта (веб-сайт, репозиторий и URL-адреса для загрузки) ОБЯЗАНЫ поддерживать HTTPS с использованием TLS. [sites_https]

    Given only https: URLs.


    Достаточно для значка!

    Проект ОБЯЗАН иметь один или несколько механизмов для обсуждения (включая предлагаемые изменения и проблемы), которые доступны для поиска, позволяют ссылаться на сообщения и темы по URL, позволяют новым людям участвовать в некоторых обсуждениях и не требуют установки на стороне клиента проприетарного программного обеспечения. [discussion]

    GitHub supports discussions on issues and pull requests, and for the Security Champions Guide these are found at: https://github.com/OWASP/Security-Champions/issues


    Достаточно для значка!

    Проекту СЛЕДУЕТ предоставлять документацию на английском языке и иметь возможность принимать отчеты об ошибках и комментарии о коде на английском языке. [english]

    The bug reports and issues for the Security Champions Guide are in English and can be found here: https://github.com/OWASP/Security-Champions/issues


    Достаточно для значка!

    НЕОБХОДИМО, чтобы проект поддерживался. [maintained]

    The OWASP Security Champions Guide is in continuous development and is up to date, as shown by the commits every month https://github.com/OWASP/Security-Champions/commits/main/



(Дополнительно) Какие другие пользователи имеют дополнительные права на редактирование этой записи значка? В настоящее время: []



The OWASP Security Champions Guide is a project hosted on github. It is a documentation project that is accessed as a web document here:| https://securitychampions.owasp.org/

  • Публичное хранилище исходного кода с поддержкой версий


    Достаточно для значка!

    Проект ОБЯЗАН иметь репозиторий (хранилище) исходного кода с управлением версиями, который является общедоступным и имеет URL. [repo_public]

    Repository on GitHub, which provides public git repositories with URL : https://github.com/OWASP/Security-Champions


    Достаточно для значка!

    Проектный репозиторий исходного кода ОБЯЗАН отслеживать, какие изменения были внесены, кто внес изменения и когда изменения были сделаны. [repo_track]

    Repository on GitHub, which uses git. git can track the changes, who made them, and when they were made: https://github.com/OWASP/Security-Champions Repository on GitHub, which uses git. git can track the changes, who made them, and when they were made.


    Недостаточно для значка.

    Чтобы обеспечить возможность для проверки другими участниками, проектный репозиторий исходного кода ОБЯЗАН включать промежуточные версии для проверки между релизами; НЕДОПУСТИМО хранить в репозитории лишь финальные версии. [repo_interim]

    at present the OWASP Security Champions Guide is not versioned and does not have a release area


    Достаточно для значка!

    Для хранилища проектного исходного кода ЖЕЛАТЕЛЬНО использовать типовое ПО для распределенного управления версиями (например, git). [repo_distributed]

    Repository on GitHub, which uses git. git is distributed : https://github.com/OWASP/Security-Champions Repository on GitHub, which uses git. git is distributed.


  • Уникальная нумерация версий


    Недостаточно для значка.

    Результаты проекта ОБЯЗАНЫ иметь уникальный идентификатор версии для каждой версии, предназначенной для конечных пользователей. [version_unique]

    at present the OWASP Security Champions Guide is not versioned


    Едва достаточно для значка.

    Для выпусков ЖЕЛАТЕЛЬНО использовать семантическую либо календарную нумерацию версий. При использовании календарной нумерации к версии ЖЕЛАТЕЛЬНО добавлять микро-компоненту. [version_semver]

    at present the OWASP Security Champions Guide is not versioned


    Едва достаточно для значка.

    Проектам ЖЕЛАТЕЛЬНО идентифицировать каждый выпуск в своей системе управления версиями. Например, при использовании git ЖЕЛАТЕЛЬНО идентифицировать каждую версию, используя теги git. [version_tags]

    at present the OWASP Security Champions Guide is not versioned and does not have a release area or release tags


  • Примечания к выпуску


    Недостаточно для значка.

    Проект ОБЯЗАН предоставлять с каждой выпускаемой версией замечания к выпуску - удобочитаемые человеком сведения об основных изменениях в этом выпуске, помогающие пользователям определить, должны ли они обновляться и какими будут последствия обновления. НЕДОПУСТИМО делать замечания к выпуску сырым выводом журнала управления версиями (например, результаты команды «git log» не являются замечаниями к выпуску). Проекты, результаты которых не предназначены для повторного использования в нескольких местах (например, программное обеспечение для одного веб-сайта или службы) И выдаются через непрерывную доставку (continuous delivery) МОГУТ выбрать «неприменимо» (N/A). (Требуется URL) [release_notes]

    at present the OWASP Security Champions Guide does not have a release area and does not have release notes


    Недостаточно для значка.

    В замечаниях о выпуске НЕОБХОДИМО упоминать каждую общеизвестную уязвимость, исправленную ​​в каждой новой версии, для которой существует CVE или аналогичная публичная запись. Критерий может быть отмечен как неприменимый (N/A), если у пользователей обычно нет практической возможности обновить данное ПО самостоятельно (это часто относится к, например, обновлениям ядра операционной системы). Если замечаний о выпуске не публиковалось или не было обнародованных уязвимостей, отвечайте "неприменимо". [release_notes_vulns]

    at present the OWASP Security Champions Guide does not have a release area and does not have release notes


  • Процесс сообщения об ошибках


    Достаточно для значка!

    Проект ОБЯЗАН предоставить пользователям возможность отправлять сообщения об ошибках (например, используя систему отслеживания ошибок или список рассылки). (Требуется URL) [report_process]

    github supplied issue tracker: https://github.com/OWASP/Security-Champions/issues and here: https://github.com/OWASP/www-project-security-champions-guidebook/issues


    Достаточно для значка!

    СЛЕДУЕТ использовать трекер вопросов (issue tracker) для отслеживания отдельных вопросов. [report_tracker]

    Yes, GitHub issue tracker provides this : https://github.com/OWASP/Security-Champions/issues and here: https://github.com/OWASP/www-project-security-champions-guidebook/issues


    Достаточно для значка!

    Проект ОБЯЗАН подтверждать получение большинства сообщений об ошибках, отправленных за последние 2-12 месяцев (включительно); подтверждение не обязательно включает исправление. [report_responses]

    The project leaders and contributors respond to issues and bugs reported here : https://github.com/OWASP/Security-Champions/issues and here: https://github.com/OWASP/www-project-security-champions-guidebook/issues


    Достаточно для значка!

    Проекту СЛЕДУЕТ реагировать на большинство (>50%) запросов на улучшения в течение последних 2-12 месяцев (включительно). [enhancement_responses]

    The project leaders have responded to all enhancement requests reported here : https://github.com/OWASP/Security-Champions/issues and here: https://github.com/OWASP/www-project-security-champions-guidebook/issues


    Достаточно для значка!

    Проект ОБЯЗАН иметь общедоступный архив для отчетов и ответов для последующего поиска. (Требуется URL) [report_archive]

    GitHub issue tracker provides a publicly available archive for issues and responses: https://github.com/OWASP/Security-Champions/issues and here: https://github.com/OWASP/www-project-security-champions-guidebook/issues


  • Процесс отчета об уязвимостях


    Недостаточно для значка.

    Проект ОБЯЗАН публиковать процесс уведомления об уязвимостях на сайте проекта. (Требуется URL) [vulnerability_report_process]

    A security policy process for raising security issues with the project, and the leaders undertake to fix any security vulnerabilities as a priority, needs to be put into place


    Недостаточно для значка.

    Если поддерживаются приватные отчеты об уязвимости, проект ОБЯЗАН включить описание того, как отправлять сведения конфиденциальным способом. (Требуется URL) [vulnerability_report_private]

    A security policy process for raising security issues with the project, and the leaders undertake to fix any security vulnerabilities as a priority, needs to be put into place


    Недостаточно для значка.

    Проект ОБЯЗАН обеспечивать время первоначального отклика на любой отчет об уязвимости, полученный за последние 6 месяцев, в пределах 14 дней или меньше. [vulnerability_report_response]

    A security policy process for raising security issues with the project, and the leaders undertake to fix any security vulnerabilities as a priority, needs to be put into place


  • Рабочая система сборки


    Достаточно для значка!

    Если программное обеспечение, создаваемое проектом, требует сборки для использования, проект ОБЯЗАН предоставить рабочую систему сборки, которая может автоматически пересобирать программное обеспечение из исходного кода. [build]

    The mkdocs utility is run automatically on commit by a github workflow / pipeline job at: https://github.com/OWASP/Security-Champions/blob/main/.github/workflows/ci.yml and this builds and publishes the OWASP Security Champions Guide web document


    Достаточно для значка!

    ЖЕЛАТЕЛЬНО использовать общеупотребительные инструменты для сборки программного обеспечения. [build_common_tools]

    The OWASP Security Champions Guide web document is built and published by mkdocs within a github workflow / pipeline job, which is a common tool used for building software


    Достаточно для значка!

    Для сборки проекта СЛЕДУЕТ использовать только инструменты со свободными лицензиями. [build_floss_tools]

    all github workflow actions used by the OWASP Security Champions Guide pipeline are FLOSS


  • Набор автотестов


    Недостаточно для значка.

    Проект ОБЯЗАН использовать по крайней мере один автоматизированный набор тестов, опубликованный как свободное ПО (этот набор тестов может поддерживаться как отдельный проект свободного ПО). Проект ОБЯЗАН ясно показывать или иметь документацию о том, как запускать наборы тестов (например, через непрерывную интеграцию (CI) или используя файлы документации, такие как BUILD.md, README.md или CONTRIBUTING.md). [test]

    The OWASP Security Champions Guide pipelines should apply automated tests such as markdown lint, spell checks and link checks; this is not yet in place


    Едва достаточно для значка.

    Запуск набора тестов СЛЕДУЕТ реализовывать стандартным способом для этого языка. [test_invocation]

    The OWASP Security Champions Guide pipelines should apply automated tests such as markdown lint, spell checks and link checks; this is not yet in place


    Едва достаточно для значка.

    ЖЕЛАТЕЛЬНО охватывать набором тестов большинство (а в идеале все) ветви кода, поля ввода и функциональные возможности. [test_most]

    The OWASP Security Champions Guide pipelines should apply automated tests such as markdown lint, spell checks and link checks; this is not yet in place


    Едва достаточно для значка.

    ЖЕЛАТЕЛЬНО реализовать непрерывную интеграцию (Continuous Integration - частая интеграция нового или измененного кода в центральное хранилище кода, и запуск автоматических тестов на получившейся базе кода). [test_continuous_integration]

    The OWASP Security Champions Guide pipelines should apply automated tests such as markdown lint, spell checks and link checks; this is not yet in place


  • Тестирование новых функций


    Достаточно для значка!

    Проект ОБЯЗАН иметь общую политику (формальную или нет), обязывающую добавлять тесты в набор автоматических тестов по мере добавления новых функциональных возможностей к программному обеспечению, создаваемому проектом. [test_policy]

    There is no running application that can have functional / unit test applied by an automated test suite


    Достаточно для значка!

    Проект ОБЯЗАН иметь доказательства того, что критерий test_policy о добавлении тестов соблюдался при недавних крупных изменениях ПО, создаваемого проектом. [tests_are_added]

    There is no running application that can have functional / unit test applied by an automated test suite


    Достаточно для значка!

    ЖЕЛАТЕЛЬНО задокументировать эту политику добавления тестов (см. критерий test_policy) в инструкции к предложениям об изменениях. [tests_documented_added]

    There is no running application that can have functional / unit test applied by an automated test suite


  • Флаги предупреждений


    Недостаточно для значка.

    Проект ОБЯЗАН включать один или несколько предупреждающих флагов компилятора, «безопасный» языковой режим или использовать отдельный инструмент «linter» для поиска ошибок качества кода или типовых простых ошибок, если есть хотя бы один инструмент на свободном ПО, который может реализовать этот критерий на выбранном языке. [warnings]

    A FLOSS markdown linter should be used to detect code quality errors and common simple mistakes


    Недостаточно для значка.

    Проект ОБЯЗАН обращать внимание на предупреждения. [warnings_fixed]

    A markdown linter should be used to detect code quality errors and common simple mistakes this will also provide warnings if it is run in a pull-request pipeline / workflow


    Едва достаточно для значка.

    ЖЕЛАТЕЛЬНО, чтобы проекты использовали самый строгий режим предупреждений в производимом ПО, где это целесообразно. [warnings_strict]

    When implemented, the markdown linter and spellchecker should be configured to be strict with warnings


  • Знание безопасной разработки


    Достаточно для значка!

    По крайней мере один основной разработчик на проекте ОБЯЗАН знать, как проектировать безопасное программное обеспечение (точные требования описаны в подробностях к критерию). [know_secure_design]

    The OWASP Security Champions Guide is a documentation project within the Open Worldwide Application Security Project. The leaders and contributors have extensive knowledge on how to design secure software and in particular run a secure MkDocs site written in Markdown.


    Достаточно для значка!

    По крайней мере, один из основных разработчиков проекта ОБЯЗАН знать об общих видах ошибок, которые приводят к уязвимостям в этом виде программного обеспечения, а также по крайней мере одному методу противодействия или смягчения каждого из них. [know_common_errors]

    The leaders and contributors have extensive knowledge on how to design secure software and in particular run a secure MkDocs site written in Markdown.


  • Основы правильного использования криптографии

    Обратите внимание, что некоторое ПО не нуждается в использовании криптографических механизмов.

    Достаточно для значка!

    Программное обеспечение, созданное проектом, ОБЯЗАНО использовать по умолчанию только публикуемые криптографические протоколы и алгоритмы, которые анализируются экспертами (если используются криптографические протоколы и алгоритмы). [crypto_published]

    The OWASP Security Champions Guide is a documentation project with no cryptographic functionality


    Достаточно для значка!

    Если программное обеспечение, создаваемое проектом, является приложением или библиотекой, и его основной целью является не внедрение криптографии, тогда для реализации криптографических функций СЛЕДУЕТ обращаться к программному обеспечению, специально предназначенному для этого; НЕ СЛЕДУЕТ повторно реализовывать свои собственные функции. [crypto_call]

    The OWASP Security Champions Guide is a documentation project with no cryptographic functionality


    Достаточно для значка!

    Вся функциональность программного обеспечения, создаваемого проектом, которая зависит от криптографии, ОБЯЗАНА быть реализована с использованием свободного ПО. [crypto_floss]

    The OWASP Security Champions Guide is a documentation project with no cryptographic functionality


    Достаточно для значка!

    Механизмы безопасности в программном обеспечении, создаваемом проектом, ОБЯЗАНЫ использовать стандартные длины криптографических ключей, которые, по крайней мере, соответствуют минимальным требованиям NIST до 2030 года (как указано в 2012 году). Проект ОБЯЗАН предоставлять возможность настройки ПО таким образом, чтобы уменьшенные длины ключей были полностью отключены. [crypto_keylength]

    The OWASP Security Champions Guide is a documentation project with no cryptographic functionality


    Достаточно для значка!

    Механизмы безопасности по умолчанию в программном обеспечении, создаваемом проектом, НЕДОПУСТИМО делать зависимыми от взломанных криптографических алгоритмов (например, MD4, MD5, single DES, RC4, Dual_EC_DRBG) или использовать режимы шифрования, которые не подходят для контекста, если только они не требуются для интероперабельности протокола (поддерживающего самую новую версию стандарта на этот протокол, широко распространенного в сетевой экосистеме, причем эта экосистема требует использования данного алгоритма или режима, не предлагая более безопасных альтернатив). В документации НЕОБХОДИМО описать все связанные с этим риски безопасности и все известные способы смягчения рисков, если данные алгоритмы или режимы действительно нужны для совместимости с другими реализациями этого протокола. [crypto_working]

    The OWASP Security Champions Guide is a documentation project with no cryptographic functionality


    Достаточно для значка!

    Механизмы безопасности по умолчанию в программном обеспечении, создаваемом проектом, НЕ СЛЕДУЕТ делать зависимыми от криптографических алгоритмов или режимов с известными серьезными слабостями (например, криптографический алгоритм хеширования SHA-1 или режим CBC в SSH). [crypto_weaknesses]

    The OWASP Security Champions Guide is a documentation project with no cryptographic functionality


    Достаточно для значка!

    В механизмах безопасности в программном обеспечении, создаваемом проектом, СЛЕДУЕТ реализовать совершенную прямую секретность для протоколов соглашений о ключах, чтобы ключ сеанса, произведенный из набора долгосрочных ключей, не мог быть скомпрометирован, если один из долгосрочных ключей скомпрометирован в будущем. [crypto_pfs]

    The OWASP Security Champions Guide is a documentation project with no cryptographic functionality


    Достаточно для значка!

    Если ПО, создаваемое проектом, требует хранить пароли для аутентификации внешних пользователей, НЕОБХОДИМО хранить пароли как итерированные хеши с солью для каждого пользователя с использованием алгоритма (итерированного) растяжения ключа (например, PBKDF2, Bcrypt или Scrypt). См. также: OWASP Password Storage Cheat Sheet (на англ.). [crypto_password_storage]

    The OWASP Security Champions Guide is a documentation project with no cryptographic functionality


    Достаточно для значка!

    Механизмы безопасности в программном обеспечении, создаваемом проектом, ОБЯЗАНЫ генерировать все криптографические ключи и временные значения с использованием криптографически безопасного генератора случайных чисел; НЕДОПУСТИМО делать это с использованием генераторов, которые криптографически небезопасны. [crypto_random]

    The OWASP Security Champions Guide is a documentation project with no cryptographic functionality


  • Доставка, защищенная от атак посредника (MITM)


    Достаточно для значка!

    Проект ОБЯЗАН использовать механизм доставки, устойчивый против атак посредника (MITM). Приемлемо использование https или ssh + scp. [delivery_mitm]

    The web document is accessed via https here: https://securitychampions.owasp.org/


    Достаточно для значка!

    НЕДОПУСТИМО получать криптографические контрольные суммы (например, sha1sum) по HTTP и использовать их без проверки криптографической подписи. [delivery_unsigned]

    The OWASP Security Champions Guide is a documentation project with no cryptographic hashes being used


  • Исправление обнародованных уязвимостей


    Недостаточно для значка.

    НЕДОПУСТИМО оставлять незакрытыми уязвимости со степенью серьезности средней или выше, опубликованные более 60 дней назад. [vulnerabilities_fixed_60_days]

    A security policy process for raising security issues with the project, and the leaders undertake to fix any security vulnerabilities as a priority, needs to be put into place


    Не хватает обязательной информации, недостаточно для значка.

    Проектам СЛЕДУЕТ оперативно исправлять критические уязвимости после сообщения о них. [vulnerabilities_critical_fixed]

  • Другие вопросы безопасности


    Достаточно для значка!

    НЕДОПУСТИМА утечка действующих частных учетных данных (например, рабочий пароль или закрытый ключ), предназначенных для ограничения общего доступа, из публичных репозиториев. [no_leaked_credentials]

    there are no credentials of any sort (test or otherwise) in the repo


  • Статический анализ кода


    Недостаточно для значка.

    НЕОБХОДИМО применять по крайней мере, один инструмент анализа статического кода (помимо предупреждений компилятора и "безопасных" режимов языка) к любой предлагаемой основной версии создаваемого ПО до ее выпуска, если есть хотя бы один инструмент на свободном ПО, который реализует этот критерий на выбранном языке. [static_analysis]

    This is a documentation project written in markdown for an MkDocs server. Static code analysis should provided by a markdown linter that is run by a nightly pipeline as well as on pull-request and commits to the main branch.


    Достаточно для значка!

    ЖЕЛАТЕЛЬНО включать по крайней мере в один из инструментов статического анализа, используемых для критерия static_analysis, правила или подходы для поиска распространенных уязвимостей в анализируемом языке или среде. [static_analysis_common_vulnerabilities]

    This is a documentation project written in markdown for an MkDocs server, and as such there are no appropriate static analysis tools to look for common vulnerabilities in the analyzed language or environment


    Недостаточно для значка.

    Все уязвимости со средней и высокой степенью серьезности, обнаруженные при статическом анализе кода, НЕОБХОДИМО своевременно исправлять после их подтверждения. [static_analysis_fixed]

    The OWASP Security Champions Guide should have a security policy process for raising security issues with the project, and this has yet to be put in place


    Едва достаточно для значка.

    ЖЕЛАТЕЛЬНО выполнять анализ статического исходного кода при каждом коммите или по крайней мере ежедневно. [static_analysis_often]

    The project should employ a markdown linter to be run by a nightly pipeline as well as on pull-request and commits to the main branch


  • Динамический анализ кода


    Достаточно для значка!

    ЖЕЛАТЕЛЬНО применять по крайней мере один инструмент динамического анализа к любой предлагаемой основной (major) версии программного обеспечения перед ее выпуском . [dynamic_analysis]

    The OWASP Security Champions Guide is not an application that runs dynamically, it is a web document that is browsed as part of the OWASP web site: https://securitychampions.owasp.org/


    Достаточно для значка!

    ЖЕЛАТЕЛЬНО регулярно использовать по меньшей мере один динамический инструмент (например, fuzzer или сканер веб-приложения) в сочетании с механизмом для обнаружения проблем безопасности памяти, таких как перезапись буфера, если программное обеспечение, создаваемое проектом, включает части, написанные на небезопасном языке (например, C или C++). Если проект не создает программное обеспечение, написанное на небезопасном языке, выберите «неприменимо» (N/A). [dynamic_analysis_unsafe]

    There is no C/C++ code or any other memory-unsafe language used for the Security Champions Guide


    Достаточно для значка!

    ЖЕЛАТЕЛЬНО включать в ПО, создаваемое проектом, достаточно много утверждений (assertions) времени выполнения, проверяемых при динамическом анализе. Во многих случаях эти утверждения не должны попадать в сборки под эксплуатацию (production). [dynamic_analysis_enable_assertions]

    The OWASP Security Champions Guide is not an application that runs dynamically, it is a web document that is browsed as part of the OWASP web site: https://securitychampions.owasp.org/ as such there are no run-time assertions that are practical and no dynamic analysis


    Недостаточно для значка.

    Проект ОБЯЗАН своевременно исправлять все уязвимости средней и выше степени серьезности, обнаруженные при динамическом анализе кода, после их подтверждения. [dynamic_analysis_fixed]

    A security policy process for raising security issues with the project, and the leaders undertake to fix any security vulnerabilities as a priority, needs to be put into place



This data is available under the Community Data License Agreement – Permissive, Version 2.0 (CDLA-Permissive-2.0). This means that a Data Recipient may share the Data, with or without modifications, so long as the Data Recipient makes available the text of this agreement with the shared Data. Please credit Jon Gadsden and the OpenSSF Best Practices badge contributors.

Владелец анкеты на значок проекта: Jon Gadsden.
2025-01-25 16:47:03 UTC, последнее изменение сделано 2025-01-28 14:36:22 UTC.

Назад