要約

  • OpenSSF Scorecardは選択された自動チェックを0から10で評価し、リスク重み付きの総合値を出す。プロジェクト自身がヒューリスティックと偽陽性・偽陰性を認めている。
  • これは全案件に通用する確定報告や要求事項ではない。同じ総合値でも、背後の個別条件は異なり得る。
  • 消費者はスキャンを一つの材料にできるが、対象リリース、利用環境、受容責任、例外、対応を決めるのは消費者側である。

点数が引き受ける範囲

OpenSSF Scorecardは、公開リポジトリから取得できる安全関連の振る舞いを自動で読み、個別のチェックと総合値として示す。依存先を検討する人に「どこを見直すべきか」を与え、保守者に改善の手掛かりを渡す点に価値がある。

ただし、READMEはその数字を最終結論にはしない。何をチェックに含めるか、どのように重要度を置くか、どの式で集約するかには判断がある。検出には誤りも漏れもある。Scorecardはすべてのプロジェクトに適用される決定版の報告書や要件を目標にしていない。総合値からは、どの個別行動があったか、なかったかを読み取れず、ヒューリスティックの追加や修正で結果も変わり得る。

この限定は弱点ではない。機械が見た一部分を、見なかった全体へ膨らませないための統制である。数値は、特定の参照先に対し、特定の時点と取得可能なデータで行った観測である。それは成果物の来歴、稼働環境、下流の利用条件まで保証する記録ではない。

総合値は差を隠し得る

一つの数字はダッシュボードやバッジに載せやすい。その便利さは「基準以上なら受入れ」と短絡する誘惑も生む。しかし総合値はリスクに応じて重み付けされた平均である。二つのリポジトリが同じ値でも、一方だけがある利用者に重要な条件を満たし、もう一方は別の条件で補っていることがある。

チェック文書は、各観測に独自の限界があることを示す。Maintained は限定期間の可視の活動を使う一方、活動が少ないソフトウェアが必ず危険なのではないと明記する。SBOM は指定場所に部品表があるかを探す。見つかったという事実は有益だが、その表が完全か、実際に配布されるバイナリに対応するか、利用者の露出を説明できるかまでは証明しない。

観測の経路も記録すべきだ。公開の週次スキャンには定められた範囲があり、API は大規模運用のコスト上の理由で一部のチェックを含めない。別のアクセス条件での実行は別の証拠を見る可能性がある。参照先、日時、ツール版、アクセス可能だったデータ、個別結果と詳細がなければ、今日の数値を過去のリリースや別の成果物の証拠と誤読してしまう。

注釈は説明であり、独立した保証ではない

低い値は、過失、侵害、脆弱性、放棄の証明ではない。定義された探知法が期待した信号を得られなかったという意味に留まる。Scorecard 自身も、実践が存在しても検出されないことがあると説明している。したがって結果は調査を始める理由であり、プロジェクトへの判決ではない。

保守者注釈はこの空白を見える形にする。test-data、remediated、not-applicable、not-supported、not-detected は、一般的なプローブだけでは足りない事情を補足できる。だが、それは保守者からの文脈説明であって、第三者の監査でも、利用者への採用指示でもない。

残すべき記録は三つある。ツールの観測、保守者の説明、利用者の採否決定である。三番目には、実際に使うパッケージやコミット、権限とデータの範囲、補償策、代替案、決定者、期限が必要になる。前二者がそれを代行することはできない。

依存関係の決定は利用者の場所で起きる

ある組織が使うのは、抽象的なリポジトリではなく、固定されたコミット、パッケージ版、内部ミラー、あるいは自組織のビルド成果物かもしれない。その部品に与える権限や接続先、停止時の負担、置換可能性も組織ごとに違う。例外を期限付きで受け入れる、隔離する、追加証拠を求める、監視する、代替を選ぶ、採用しないという選択は、リスクを負う組織が行う。

そのため、短い「スキャンから依存関係への決定記録」が有効になる。前半には対象リポジトリと解決済み参照、Scorecard の版と実行時刻、データ上の制約、総合値、関係した個別チェック、詳細、注釈を置く。後半には検討対象の版と用途、独立した証拠、責任者、基準または例外の理由、選んだ対応、再確認条件を置く。

これはScorecardを認証制度に変える提案ではない。観測から得た便利な数字が、誰にも移されていない決定権を借りないようにするための区別である。

出典

  1. OpenSSF Scorecard README
  2. OpenSSF Scorecard チェック文書
  3. OpenSSF Scorecard 保守者注釈