Ein Ergebnis ist nur so belastbar wie der ihm zugrunde liegende Nachweis. Die Sicherheitsfunktion benennt die Art des Nachweises hinter jedem Ergebnis – nur Nachweise mit einem vertrauenswürdigen Verifizierungsdatensatz können ein Ergebnis dazu bringen, einen pull request zu blockieren, jemanden zu benachrichtigen oder als bestätigt zu gelten.
Die drei Arten
| Nachweise | Bedeutung | Verifiziert durch |
|---|---|---|
| Übereinstimmung mit einer Warnung | Ein vollständiger Scan stellt eine Übereinstimmung zwischen der installierten Paketversion und dem betroffenen Bereich einer veröffentlichten Warnung fest. | Der Scan selbst: der Scanner und seine Version, die Konfiguration, die Coroid ihm zuweist, sowie die Warnung samt dem Zeitpunkt ihrer letzten Änderung. |
| Validiertes statisches Ergebnis | Der Code entspricht einem anfälligen Muster. | Eine Regel, die die Kalibrierung erfolgreich durchlaufen hat – oder bei einem Problem, das ein AI-Modell festgestellt hat, eine unabhängige Überprüfung, die das Problem aus dem Code dieses Commits erneut ableitet. Diese Überprüfung erfolgt separat und nicht im Rahmen der ursprünglichen Erkennung. |
| Nachweisbares Ausfallverhalten | Ein Sicherheitsfehler wurde ausgeführt und beobachtet. | Ein Nachweislauf in einer isolierten Umgebung, der unabhängig davon erneut durchgeführt wird und dasselbe Ergebnis liefert. Geplant: Coroid führt derzeit noch keine Nachweisläufe durch. |
Ein Verifizierungsdatensatz gehört zu einem einzigen Commit. Er wird nicht auf den nächsten übertragen; der nächste Scan prüft erneut.
Was jede Art von Nachweis bewirken kann
- Abhängigkeitsergebnisse werden bei Übereinstimmungen mit Warnungen durchgesetzt.
- Geheime Daten- und Code-Regeln werden nur bei einer Detektorenversion durchgesetzt, die die Kalibrierung erfolgreich durchlaufen hat. Siehe Schutzmaßnahmen und Durchsetzung.
- Die Sicherheitsangaben von Coroid Review und die Ergebnisse der Audits blockieren oder benachrichtigen nur, wenn eine unabhängige Überprüfung sie als validiertes statisches Ergebnis bestätigt.
Noch nicht bestätigt
Ein Ergebnis ohne solchen Nachweis wird als Noch nicht bestätigtangezeigt. Es erscheint in der Übersicht mit den bekannten Informationen, hat aber keine weitere Wirkung: Es führt nicht zu einem Fehler bei einer Prüfung, benachrichtigt niemanden und zählt in der Übersicht nicht als bestätigt. Hier bleibt die Aussage eines AI-Modells bestehen, wenn die unabhängige Überprüfung sie nicht bestätigen konnte – beispielsweise weil der Code, der das Problem verursacht, in einer anderen Datei liegt.
Eine aus GitHub importierte Warnung, die von den eigenen Scans von Coroid nicht bestätigt wurde, wird als Aus GitHub importiert, noch nicht bestätigtangezeigt und in der Übersicht separat gezählt. Sie benachrichtigt und blockiert erst, wenn der eigene Scan von Coroid sie bestätigt. Siehe GitHub-Berechtigungen und die Sicherheitsprüfung von Coroid.
Wo man es sehen kann
Die Seite eines Ergebnisses zeigt dessen Nachweise, die Quelle, aus der sie stammen, und was sie verifiziert hat. Auch die Fix-Pull-Requests enthalten ihre Nachweise: Bei Abhängigkeiten die Warnungen, die sie beheben, sowie das Paketinventar vor und nach der Änderung. Siehe Fix-Pull-Requests.