ממצא הוא חזק רק כפי שהראיות שמאחוריו. אבטחה מציינת את סוג הֶראָיה שמאחורי כל ממצא, ורק ראיה עם תיעוד אימות אמין יכולה לגרום לממצא לחסום pull request, לשלוח התרעה למישהו, או להיחשב כמאומת.
שלושת הסוגים
| ראיות | משמעות | נאמת על ידי |
|---|---|---|
| התאמה להמלצה | סריקה מלאה השוותה בין גרסת החבילה המותקנת לבין הטווח הפגיע של ההמלצה שפורסמה. | הסריקה עצמה: המכשיר והגרסה שלו, התצורה ש־Coroid הגדיר לה, וההמלצה עם זמן השינוי האחרון שלה. |
| ממצא סטטי מאומת | הקוד תואם לתבנית פגיעה. | כלל שעבר כיול, או במקרה של בעיה שמודל של AI זיהה, בדיקה עצמאית שמסיקה את הבעיה מחדש מהקוד בקומיט הזה. הבדיקה מתבצעת בנפרד, לא זו שזיהתה את הבעיה. |
| כשל שנוצר מחדש | כשל אבטחה בוצע ונצפה. | הפעלה שנעשתה בסביבה מבודדת, שנרצתה שוב באופן עצמאי עם אותה תוצאה. בתכנון: Coroid עדיין לא מבצע הפעלות מסוג זה. |
תיעוד האימות שייך לקומיט אחד בלבד. הוא אינו נשמר לקומיט הבא; הסריקה הבאה תבצע בדיקה מחדש.
מה כל סוג יכול לעשות
- ממצאי תלותיות מפעילים פעולה רק בהתאמות להמלצות.
- כללי סודות וקוד מפעילים פעולה רק עם גרסת גלאי שעברה כיול. ראה הגנות ואכיפה.
- טענות האבטחה של סקירת Coroid וממצאי הביקורת יחסמו או ישלחו התרעה רק לאחר שבדיקה עצמאית תאשר אותם כממצא סטטי מאומת.
עדיין לא מאומת
ממצא ללא ראיות כאלה יופיע כ־ עדיין לא מאומת. הוא יוצג באבטחה, עם מה שידוע, ולא יבצע פעולה נוספת: הוא לא יגרום לכישלון בבדיקה, לא ישלח התרעה למישהו, ולא ייספר כמאומת בכרטיסייה סקירה. כך נשארת טענת המודל של AI כאשר הבדיקה העצמאית לא הצליחה לאשר אותה, למשל מכיוון שהקוד שקובע את הבעיה נמצא בקובץ אחר.
התרעה שיובאה מ־GitHub ושסריקות של Coroid עצמו עדיין לא אישרו, תוצג כ־ יובא מ־GitHub, עדיין לא מאומת, והיא תיספר בנפרד בכרטיסייה סקירה. היא תשלח התרעה ותחסום רק לאחר שסריקה של Coroid עצמו תאשר אותה. ראה הרשאות GitHub ובדיקת האבטחה של Coroid.
היכן לראות זאת
דף הממצא מציג את הראיות שלו, את המקור שייצר אותן, ואת מה שאימת אותן. גם בקשות הפתרון נושאות את הראיות שלהן: עבור תלותיות, ההמלצות שהן מתקנות ואוסף החבילות לפני ואחרי השינוי. ראה בקשות פתרון.