Güvenlik Profili

EPPlus nasıl çalışıyor

EPPlus kendi çalışma süresi yok. Bu, bir ana uygulama sürecine yüklenen ve tamamen o süreç içinde çalışan bir kütüphanedir. Bu, güvenlik profili için aşağıdaki sonuçları getirir:

• EPPlus kendi süreciyle çalışmaz. Başvuru içinde işlem içi kod olarak çalışır.
• EPPlus kendi veritabanını veya kalıcı depolamasını yönetmez. Her türlü dosya veya veri işlemesi ana uygulama adına gerçekleştirilir.
• EPPlus kendi ağ faaliyetini başlatmaz — telemetri, lisans kontrolleri, güncelleme kontrolleri veya "telefon-eve" — ve çalışmak için ağ erişimine ihtiyaç duymaz. Tüm tablo dosyası giriş/girişi ana işlem için yereldir. Tek istisna ana bilgisayar tarafından çağrılmıştır: IMAGE() fonksiyonu, ana uygulama formülleri hesapladığında, ana bilgisayarın kısıtlayabileceği veya devre dışı bırakabileceği bir hizmet aracılığıyla HTTPS üzerinden bir görüntü getirebilir.
• EPPlus doğrulama veya yetkilendirme mekanizması yoktur. Kullanıcıları tanımamaz, kimlik bilgileri vermez veya erişimi kontrol etmez.
• EPPlus kendi altyapısı yok — ne sunucu, ne bulut servisi, ne barındırılan uç nokta.
• Penetrasyon testi yalnızca bir ana uygulama bağlamında anlamlıdır, çünkü EPPlus bağımsız çalışma zamanı ve dinleme veya gelen ağ yüzeyi ortaya çıkarmaz. Anlamlı güvenlik testi, EPPluskullanan ana uygulama düzeyinde gerçekleşir.

Bu güvenlik değerlendirmeleri için ne anlama geliyor?

Birçok standart güvenlik anketi, SaaS ürünleri veya ağ hizmetleri için tasarlanmıştır. TLS yapılandırması, erişim kaydı, kullanıcı sağlama, altyapı güçlendirme, çalışma zamanı izleme veya veri depolama ile ilgili sorular EPPlusiçin geçerli değildir çünkü EPPlus bu yüzeylerin hiçbirini sağlamaz.

EPPlus için geçerli olan güvenlik endişeleri bu sitenin diğer bölümlerinde ele alınmıştır:

• Sürüm bütünlüğü — bir sürümün kuranmadığını nasıl doğrulayacağınızı bilmek için Kod İmzalama'ya bakınız.
• Bağımlılık bütünlüğü — her sürümün tam bileşen envanteri için Yazılım Materyaller Listesi'ne bakınız.
• Bilinen güvenlik açıkları — açıklanan sorunlar ve değerlendirmelerimiz için Güvenlik Açıklığı Açıklamalarına bakınız.
• Raporlama ve yanıt — güvenlik sorununun nasıl bildirileceği, koordineli açıklama sürecimiz, iç müdahale hedefleri ve CRA Madde 14 raporlama yükümlülükleri için Güvenlik Açılığı Açıklama Politikamıza bakınız.
• Güvenilmeyen girdileri işlemek — güvenilmeyen kaynaklardan çalışma kitaplarında formül hesaplamanın güvenlik sonuçları ve ana uygulama için mevcut kontroller için formüller hesaplarken Güvenlik Dikkate Alınmasına Bakınız.

Güvenli geliştirme uygulamaları

EPPlus , güvenlik ile ilgili kusurlar da dahil olmak üzere kusurları erken yakalamayı amaçlayan bir dizi uygulama altında geliştirilmiştir:

• Tüm kod değişiklikleri pull requests yoluyla yapılır ve birleştirilmeden önce EPPlus ekibinin başka bir üyesi tarafından incelenip onaylanmalıdır. Bu süreç kamuya açık olup EPPlus GitHub deposunda gerçekleşir.
• Her değişiklik, CI/CD pipeline'ımızın bir parçası olarak binlerce birim testinden geçer.
• Kaynak kodu, her itişte GitHub CodeQLtarafından analiz edilir. Detaylar için Kaynak Kodu Taraması'na bakınız.
• Bağımlılıklar bilinen güvenlik açıkları açısından sürekli taranır. Detaylar için Güvenlik Hakkı Taraması'na bakınız.