Helm 3 прошёл независимый аудит безопасности
Вчера из блога проекта Helm — так называемого «пакетного менеджера для Kubernetes» — стало известно, что успешно завершён независимый аудит безопасности кодовой базы Helm 3.
Аудит проводился в октябре немецкой компанией Cure53, которая до этого осуществила аналогичную процедуру для других Open Source-проектов CNCF, таких как Prometheus, Envoy, Jaeger и Notary. Как отмечают разработчики Helm, такой аудит является обязательным критерием для того, чтобы проект получил статус выпускника (graduated) в CNCF. Helm пока находится на предыдущем этапе зрелости (incubating) и, по всей видимости, готовится к «повышению» со своей новой крупной версией — v3.
Во время такого аудита его авторы проверяют задействованный в проекте язык программирования и используемые паттерны, внешние библиотеки, а также применяемые в проекте систему контроля прав (что в Helm 3 сильно отличается от Helm 3 благодаря упразднению Tiller), работу с логами и мониторингом, организацию юнит- и регрессионного тестирования, документацию, использование TLS для взаимодействия, процесс исправления проблем в безопасности и ряд других параметров.
Аудит выполнялся для ветки проекта dev-v3 (совсем недавно ставшей master) по состоянию на коммит 34b930c от 12 октября (Helm v3.0.0-rc.2). Общее резюме по проведённому аудиту таково:
«Cure53 может только свидетельствовать, что Helm производит впечатление очень зрелого проекта. Этот вывод основан на множестве различных факторов, описанных выше, и в целом означает, что Helm можно рекомендовать для публичного использования, в особенности при условии его грамотной конфигурации и настройки безопасности по рекомендациям, предоставляемым командой его разработчиков».
С полными итогами аудита безопасности Helm 3 можно ознакомиться в этом PDF-документе (14 страниц). Он был добавлен в репозиторий проекта 11 часов назад.
Из других свежих новостей проекта Helm можно отметить тот факт, что 19 октября состоялся последний релиз Helm 2 с новыми фичами — v2.15.0. Актуальный же релиз третьей ветки проекта — упомянутая выше версия v3.0.0-rc.2, что была выпущена буквально на днях, 2 ноября.
P.S.
Читайте также в нашем блоге:
