Dragonfly 完成 CNCF 安全审计！-优快云博客

作者：Dragonfly Maintainer

文章最初在 Dragonfly 博客^[1]上发表

今年夏天，在四个工程师周的时间里，Trail of Bits^[2] 和 OSTIF 合作对 Dragonfly2 进行了安全审计。作为 CNCF 孵化项目，Dragonfly2^[3] 是基于 P2P 技术的文件分发系统。该范围包括用于镜像分发的 Dragonfly 子项目 Nydus^[4]。此次合作围绕与项目毕业时的安全性和寿命相关的几个目标进行了概述和构造。

Trail of Bits 审计团队通过使用静态和手动测试以及自动化和手动流程来进行审计。通过引入 semgrep 和 CodeQL 工具，对客户端、调度程序和管理器代码进行手动审查，并对 gRPC 处理程序进行模糊测试，审计团队能够识别项目的各种结果，以提高其安全性。通过将工作重点放在高级业务逻辑和外部可访问端上，Trail of Bits 审计团队能够在审计过程中确定重点，并为 Dragonfly2 未来的工作提供指导和建议。

审计报告^[5]记录了 19 项调查结果。其中 5 个调查结果被评为高，1 个为中，4 个为低，5 个为信息性， 4 个被认为是未确定的。其中 9 个调查结果被归类为数据验证，其中 3 个属于高严重性。Dragonfly2 的代码库成熟度也进行了排名和审查，包括项目代码的 11 个方面，报告中对这些方面进行了单独分析。

这是一个很庞大的项目，由于时间和范围的限制，无法全面审查。由于这些原因，多个专门功能不在本次审核的范围之内。该项目是在毕业前继续进行审计工作以改进和提升代码并强化安全性的绝佳机会。持续的安全努力至关重要，因为安全是一个不断变化的目标。

我们要感谢 Trail of Bits 团队，特别是 Dan Guido、Jeff Braswell、Paweł Płatek 和 Sam Alws 在此项目上所做的工作。感谢 Dragonfly2 的维护者和贡献者，特别是戚文博，他们持续的工作和对本次活动的贡献。最后，我们感谢 CNCF 为此次审计提供资金并支持开源安全工作。

Dragonfly Star 一下✨：

https://github.com/dragonflyoss/Dragonfly2

扫描二维码查看 Dragonfly GitHub 页面

Links

OSTIF & Trail of Bits

OSTIF：https://ostif.org/
Trail of Bits：https://www.trailofbits.com/
Security Audit of Dragonfly：https://ostif.org/dragonfly-audit/

Dragonfly community

Website：https://d7y.io/
Github Repo：https://github.com/dragonflyoss/Dragonfly2
Slack Channel：#dragonfly on CNCF Slack
Discussion Group：dragonfly-discuss@googlegroups.com
Twitter：@dragonfly_oss

Nydus community

Website：https://nydus.dev/
Github Repo：https://github.com/dragonflyoss/image-service
Slack Channel：#nydus

参考资料

[1]. Dragonfly 博客：https://d7y.io/zh/blog/2023/09/15/security-audit

[2]. Trail of Bits：https://www.trailofbits.com/

[3]. Dragonfly2：https://d7y.io/

[4]. Nydus：https://nydus.dev/

[5]. 审计报告：https://ostif.org/wp-content/uploads/2023/09/DragonFly2-Comprehensive-Report-2.pdf

活动推荐｜KCD 杭州

杭州是中国东南沿海中心城市之一、浙江省省会。美丽的西湖成就了“上有天堂，下有苏杭”的千古美誉。而今天，这张名片，似乎已经被“电商之都”所取代。杭州凭借着互联网电商经济成为了炙手可热的新一线城市，同时也吸引了很多大型互联网公司，并且具有浓厚的技术氛围。本次也是 Kubernetes Community Days 首次来到杭州，由 CNCF、蚂蚁开源、龙蜥社区、Dragonfly 社区、Harbor 社区联合发起。希望能够在这座充满活力的城市进一步推广云原生相关技术。

本次 KCD 杭州站 2023 演讲议题已开放投稿，届时我们会筛选出优秀议题在本次 KCD 杭州站活动中呈现。