El desarrollador ruso de software Bazis presentó la plataforma Basis Repository para el almacenamiento seguro y la verificación de componentes de software. La solución permite a las empresas controlar el uso de bibliotecas de terceros y de open source, analizarlas en busca de vulnerabilidades y establecer reglas uniformes de acceso para todos los equipos de desarrollo.
La plataforma se despliega en la infraestructura del cliente, incluidos los entornos aislados. Las organizaciones pueden determinar de forma autónoma las fuentes de software permitidas, las licencias y las versiones de los componentes. Los desarrolladores solo obtienen acceso a elementos verificados o a aquellos cuyo uso haya sido aprobado específicamente por los especialistas responsables. Las excepciones quedan registradas indicando el motivo y el plazo de validez de la autorización.
Las verificaciones pueden realizarse de forma manual o programada. Si se detecta una nueva vulnerabilidad en un componente aprobado previamente, el sistema permite restringir su descarga para todos los equipos. Durante el análisis se genera un listado de componentes de software y sus versiones, y la información sobre vulnerabilidades se coteja con el Banco de Datos de Amenazas de FSTEK de Rusia.
Basis Repository también tiene en cuenta las licencias y los periodos de soporte del software. Para controlar la composición de los paquetes transferidos se contempla un pasaporte firmado, lo que permite cotejar los archivos recibidos con la versión verificada. Las acciones de los usuarios se registran en un registro de auditoría y los permisos se distribuyen conforme a roles.
La solución admite paquetes de Linux RPM y DEB, imágenes de contenedores Docker/OCI, npm, Maven, PyPI y archivos binarios. La plataforma se puede gestionar a través de una interfaz web y de API.
Según datos de Bazis, los mecanismos principales de Basis Repository están desarrollados sobre una base de código propia. Las soluciones externas de open source se emplean para tareas técnicas puntuales. En la compañía explicaron la creación de la plataforma por la creciente necesidad de las empresas de controlar la seguridad de los componentes de terceros utilizados en el desarrollo de software.