Understanding npm Developers' Practices, Challenges, and Recommendations for Secure Package Development
Diese Studie untersucht die Sicherheitswahrnehmungen, Praktiken und Herausforderungen von 75 npm-Paketentwicklern durch eine Mixed-Methods-Umfrage und zeigt auf, dass Sicherheit zwar eine Priorität darstellt, Entwickler jedoch mit erheblichen Barrieren wie Zeitbeschränkungen und Werkzeuglimitierungen konfrontiert sind, was Empfehlungen für verbesserte Erkennungswerkzeuge, Dokumentation und Bildung zur Erhöhung der Vertrauenswürdigkeit des Ökosystems nach sich zieht.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich die Welt der Softwareentwicklung als eine riesige, geschäftige Stadt namens Node City vor. In dieser Stadt werden fast alle Gebäude (Apps oder Websites) nicht von Grund auf neu errichtet, sondern indem man vorgefertigte Lego-Steine zusammensteckt. Diese Steine werden npm-Packages genannt. Es gibt über 2 Millionen von ihnen, die monatlich Milliarden Mal heruntergeladen werden.
Die Menschen, die diese Steine bauen, pflegen und verteilen, sind die npm-Entwickler. Sie sind die Architekten und die Wächter dieser Stadt.
Dieses Papier ist wie eine Bürgerversammlung, bei der die Forscher 75 dieser Steinmacher gefragt haben: "Wie sicher halten Sie Ihre Steine? Was lässt Sie nachts nicht schlafen? Und welche Werkzeuge nutzen Sie, um die Stadt sicher zu halten?"
Hier ist das, was sie herausgefunden haben, einfach erklärt:
1. Das „Ich weiß, dass es wichtig ist, aber...“-Paradoxon
Die Entwickler waren sich einig: Sicherheit ist super wichtig. Sie kümmern sich zutiefst darum. Als sie jedoch gebeten wurden, die Sicherheit ihrer eigenen Steine zu bewerten, gaben die meisten ihnen ein „C+“ oder „B-“. Sie sagten nicht: „Meine Steine sind perfekt.“ Sie sagten: „Sie sind okay, aber nicht großartig.“
- Die Analogie: Es ist wie ein Koch, der weiß, dass Lebensmittelsicherheit entscheidend ist, aber zugibt: „Meine Küche ist sauber, aber ich bin mir nicht zu 100 % sicher, ob ich nicht doch einen winzigen Staubpartikel in die Suppe geraten habe.“ Sie schätzen Sicherheit, aber sie wissen, dass ihre eigene Arbeit nicht makellos ist.
2. Die großen, gruseligen Monster (Bedrohungen)
Als sie gefragt wurden, was ihnen am meisten Angst macht, deuteten die Entwickler auf drei Hauptmonster:
- Supply-Chain-Angriffe (Lieferkettenangriffe): Stellen Sie sich vor, ein Dieb schleicht sich in das Lagerhaus, in dem die Steine gelagert werden, und tauscht einen sicheren roten Stein gegen eine Bombe aus. Dies ist die Angst Nummer 1.
- Abhängigkeits-Schwachstellen (Dependency Vulnerabilities): Ihr Stein mag sicher sein, aber er ist an einen anderen Stein geklebt, der einen Riss hat. Wenn dieser andere Stein bricht, fällt auch Ihr Stein herunter.
- Bösartiger Code (Malicious Code): Jemand, der absichtlich eine Falle in einen Stein legt.
3. Die Werkzeuge: Das „Spam-Ordner“-Problem
Entwickler haben Werkzeuge, um nach diesen Monstern zu suchen (wie npm audit oder Dependabot). Aber nur 40 % von ihnen sind mit diesen Werkzeugen zufrieden.
- Die Analogie: Stellen Sie sich vor, Sie haben einen Rauchmelder in Ihrer Küche. Er funktioniert großartig, aber er geht jedes Mal los, wenn Sie ein Stück Toast rösten oder ein Fenster öffnen. Nach einer Zeit tritt Alarmmüdigkeit (Alert Fatigue) ein. Sie beginnen, das Piepen zu ignorieren, weil Sie denken: „Ach, das ist nur wieder der Toaster.“
- Die Entwickler sagten, dass die Werkzeuge „GEFAHR!“ zu oft schreien, wenn es eigentlich gar nicht gefährlich ist (Fehlalarme). Das macht sie müde und dazu neigt, weniger zuzuhören, wenn ein echter Brand ausbricht.
4. Wie sie Dinge beheben
Wenn ein Entwickler einen Riss in seinem Stein findet, handelt er meistens schnell.
- Der Prozess: Er prüft, wie schlimm der Riss ist, repariert ihn und veröffentlicht sofort eine neue Version.
- Die „Drop“-Strategie: Wenn ein Stein, auf den sie angewiesen sind, verlassen wurde (niemand mehr ihn pflegt) oder einen bekannten Riss hat, der nicht behoben wird, hören sie auf, ihn zu benutzen. Es ist, als würde man erkennen, dass ein Lieferant bankrottgegangen ist, und also sofort zu einem neuen Lieferanten wechselt.
5. Die Hindernisse (Warum es schwierig ist)
Warum machen sie nicht alles perfekt? Die größte Hürde ist die Zeit.
- Die Analogie: Stellen Sie sich vor, Sie bauen ein Haus, während ständig jemand neue Baupläne an Sie überreicht, Sie bittet, die Wände zu streichen, und Ihnen sagt, Sie sollen das Dach reparieren. Sie haben einfach nicht genug Stunden am Tag, um jeden einzelnen Nagel auf Sicherheit zu überprüfen.
- Andere Hürden sind komplizierte Werkzeuge, das „Rauschen“ durch zu viele Alarme und die schiere Komplexität beim Verwalten von tausenden Verbindungen zwischen den Steinen.
6. Was sie wollen (Die Wunschliste)
Wenn der Stadtrat (npm) ihnen drei Wünsche erfüllen könnte, um die Stadt sicherer zu machen, hier ist das, was die Entwickler verlangt haben:
- Bessere Detektoren: Werkzeuge, die aufhören, wegen Toast zu schreien, und nur dann schreien, wenn es echte Brände gibt. Sie wollen intelligentere Werkzeuge, nicht einfach nur mehr Werkzeuge.
- Klarere Anweisungen: Bessere Leitfäden und Dokumentationen darüber, wie man sicher baut.
- Mehr Unterstützung: Sie wollen finanzielle Hilfe oder Anreize. Sicherheit kostet Zeit, und sie wollen dafür belohnt werden, dass sie diese Zeit investieren.
Eine Sache, die sie spezifisch nicht wollen: Sie wollen keine Werkzeuge, die die Steine automatisch für sie reparieren, ohne zu fragen. Sie sind misstrauisch gegenüber Robotern, die Löcher flicken sollen, weil sie vielleicht das Falsche flicken könnten. Sie ziehen es vor, die Reparaturen selbst durchzuführen, sobald sie wissen, was falsch ist.
Das Fazbeit (The Bottom Line)
Die npm-Entwickler sind gut gemeint und sich der Gefahren bewusst, aber sie sind überfordert. Sie versuchen, eine riesige, miteinander verbundene Stadt mit Werkzeugen sicher zu halten, die manchmal zu oft „Wolf“ schreien, und ihnen geht die Zeit aus. Um die Welt der Software sicherer zu machen, müssen wir ihnen bessere, leisere Werkzeuge, klarere Anweisungen und ein wenig mehr Zeit geben, um den Job richtig zu erledigen.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.