Mettere in sicurezza i plugin Filament con Plumb

Se segui le novità di Filament, probabilmente hai già sentito che abbiamo appena superato i 1.000 plugin della community nella directory dei plugin di Filament! Quindi, con oltre mille plugin e in costante crescita (nel tempo trascorso dalla pubblicazione di quell'articolo abbiamo già aggiunto altri 50 plugin della community), è arrivato il momento di parlare della sicurezza dei plugin e di come stiamo già aggiungendo livelli di sicurezza per aiutarti a fare scelte consapevoli su quali plugin installare.

Sicurezza dei plugin Filament

Va da sé che, indipendentemente da qualsiasi metrica di sicurezza tu possa vedere per un pacchetto che vuoi introdurre nella tua applicazione, rivedere il codice da solo resterà per sempre il modo migliore per assicurarti di non includere codice che non conosci.

Ma al di fuori della revisione manuale del codice, esistono altri indicatori che puoi usare per valutare il rischio, come la presenza di security advisory attive, l'esistenza di PR di Dependabot rimaste aperte per lunghi periodi di tempo, e molti altri ancora. Questo tipo di indicatori ti dà un'ottima percezione iniziale per capire se il pacchetto che stai valutando (o che hai già installato) è una scelta sicura. Perché approfondire il funzionamento di un plugin quando sai già che le patch di sicurezza non vengono unite, che esistono già 100 security advisory per il pacchetto o che è del tutto non mantenuto?

Tuttavia, per quanto validi siano tutti questi controlli, hanno tutti lo stesso problema di fondo: la lista è noiosa, può richiedere molto tempo ed è molto facile dimenticare una o due delle cose che volevi verificare inizialmente!

Per questo motivo, Filament ha introdotto in sordina una nuova integrazione con la directory dei plugin, pensata appositamente per darti un vantaggio iniziale ed eseguire molti di questi controlli al posto tuo, mostrando i risultati in bella vista nella pagina della directory dei plugin.

Plumb

Scritto da Kevin Ullyott, Plumb è uno strumento relativamente nuovo che analizza automaticamente i pacchetti PHP e assegna loro un punteggio in base a sicurezza, manutenzione e salute complessiva dell'ecosistema. Una volta scansionato un pacchetto, Plumb combina tutti i suoi controlli e restituisce un unico numero che può essere usato per determinare il livello di rischio nell'installazione di quel pacchetto.

La nostra integrazione con Plumb permette di vedere rapidamente e facilmente il punteggio di sicurezza di Plumb direttamente nella UI di tutti i plugin della directory, mentre esplori o cerchi.

Vuoi maggiori informazioni sul perché un determinato plugin ha ricevuto uno specifico punteggio? Nella pagina di dettaglio di ogni plugin abbiamo aggiunto una sezione "Package health" che mostra il punteggio totale per ciascuna delle tre categorie di sicurezza di Plumb (security, maintenance ed ecosystem), oltre a un resoconto completo di quali dei 15 controlli sono stati superati, falliti o saltati.

Come gestire i controlli di sicurezza in qualità di maintainer?

Ottenere un punteggio Plumb per il tuo repository

Plumb e Filament hanno unito le forze per rendere il monitoraggio dei controlli di sicurezza il più semplice possibile per tutti i maintainer di plugin Filament.

Innanzitutto, se il tuo plugin è già disponibile pubblicamente nella directory dei plugin di Filament, sei fortunato, perché Plumb sta già eseguendo controlli di sicurezza automatici sul tuo repository!

In secondo luogo, se hai un plugin privato e a pagamento nella directory dei plugin, dovrai fare un passo in più e collegare il tuo account Github a Plumb. Puoi farlo seguendo alcuni rapidi passaggi indicati in fondo alla pagina "scoring" del sito web di Plumb.

Infine, se sei il fiero proprietario di un repository di pacchetti PHP e/o Laravel al di fuori dell'ecosistema Filament e vorresti comunque che Plumb assegnasse un punteggio di sicurezza al tuo pacchetto, esiste un'opzione anche per te! Plumb monitora automaticamente quasi 170.000 pacchetti su Packagist (al momento in cui scriviamo), quindi prima di richiedere il tuo pacchetto, cercalo sul sito web di Plumb. Le probabilità che Plumb stia già scansionando e valutando il tuo repository sono piuttosto alte. Tuttavia, se Plumb non ha ancora scansionato il tuo pacchetto, puoi usare il modulo di richiesta sulla homepage di Plumb per avviare la scansione e ottenere il tuo punteggio.

Cosa fare con un punteggio Plumb

Hai quindi ottenuto il tuo punteggio di sicurezza Plumb. E adesso?

Partiamo dal percorso facile: hai ottenuto 100/100? Se sì, sei a posto.

Detto questo, cosa succede se ottieni meno di un punteggio perfetto? Va bene, non c'è bisogno di farsi prendere dal panico. Per ogni plugin che Plumb valuta, viene fornito un resoconto dettagliato che mostra come Plumb è giunto al punteggio complessivo, oltre al punteggio di ciascuna sezione. Puoi vedere la pagina dei risultati del plugin Custom Dashboards di Filament, qui, se vuoi seguire il ragionamento.

Quando visiti la pagina dei risultati del tuo plugin, puoi cliccare su uno qualsiasi dei controlli eseguiti e vedere dettagli specifici su come il tuo plugin ha ottenuto un esito positivo o negativo. Per esempio, sempre usando il plugin Custom Dashboards di Filament, possiamo cliccare sul controllo "GitHub Actions pinned to SHA" per vedere che, dei nostri nove riferimenti di terze parti all'interno delle nostre Github Actions, tutti e nove sono fissati in modo sicuro a uno specifico commit SHA.

Nello stesso elemento UI ad accordion, puoi aprire la piccola sezione "How this check works" per qualche informazione rapida, oppure puoi cliccare sul link "Learn more about this check" per essere portato a una descrizione estremamente dettagliata del controllo, del perché è importante, di come appare un controllo riuscito e di come realizzarlo. Anche in questo caso useremo come esempio il controllo "GitHub Actions pinned to SHA": lo trovi qui. Se hai controlli specifici che non passano e non sei del tutto sicuro di come risolverli, queste pagine sono una vera miniera d'oro.

Il team di Filament è entusiasta di aver collaborato con Plumb e di poter dare a tutti, maintainer e utenti allo stesso modo, un ulteriore segnale per proteggere i propri pacchetti e le proprie applicazioni. E ovviamente, va da sé, vogliamo ringraziare di cuore Plumb per aver collaborato con noi per aiutarci a raggiungere questo obiettivo!

Buon sviluppo!