安全委员会例会纪要 会议时间：2021-3-17 与会人：中邮信科-马德斌、北明-卢宇威、统信-张少宁、中科微澜-张晨波、麒麟-崔雷、杨丽锦、郭晓琪、朱建伟、魏刚、刘金刚 纪要人：刘金刚 遗留问题： - 存在漏洞在LTS版本中已修复，但漏发SA的情况，这种情况应补发SA，同时需要分析问题引入的原因并细化解决方案，并刷新到漏洞处理FAQ中。- yanglijin, liujinggang 进展： 本周无进展，3月24日前给出解决方案并完成FAQ的刷新。 - 当前9分以上漏洞走单包发布流程主要是人为驱动的，应建立自动触发单包发布的流程（release-sig）。建议在release-sig报个议题，讨论CVE修复完成后自动触发单包发布流程。- weigang 进展：与基础架构进行交流，基础设施团队给出单包发布流程的方案，在release sig例会进行讨论 会议议题： 一、社区漏洞感知工具进展 主讲人：张晨波 1.漏洞感知工具进展：目前正在进行系统稳定性工作，进度在70%-90%，预计这周完成。 后续主要工作：优化时效性、日报周报功能、补充数据来源字段、定时过滤全量数据、补充startversion字段，提高过滤器准确性、针对漏洞基数大的软件包单独处理漏报误报统计、记录漏洞history、处理高热度漏洞。 遗留任务： 1 系统要实现24小时正常运行，系统异常不要超过12小时，以确保24小时漏洞感知能力。 2）当前与24小时感知能力还有较大差距，需要系统梳理Vtopia各个模块间数据流的时延，去掉不必要的定时任务，优化或自动化人工审核方案，在3月底达成24小时漏洞感知能力。 3）持续的分析漏洞报的情况，降低漏报率，漏报率第一目标值小于85%。 二、社区漏洞处理进展 主讲人：刘金刚 1. 漏洞感知：本双周新增漏洞96个（严重5个，主要的47个），其中72个源自感知工具，占比75%，贡献者提交的24个漏洞，其中有效漏洞19个，感知工具漏报率：20.9%。 2. 漏洞修复： 1） 已修复：本月修复了33个漏洞，涉及25个软件包，本周应发布版本修复7分以上漏洞。 2） 待修复：当前社区还有90个漏洞未修复（严重0个、主要48个，次要39个，不重要3个），其中7个grub2漏洞风险较高，建议本周发布修复版本。 遗留任务：openEuler漏洞处理质量看板预计在3月底上线，下次例会介绍一下看板的度量指标和功能展示 --汪奕如 三、 openwall安全工具分析 主讲人：郭晓琪 1、passwdqc功能：（1）判断密码是否符合复杂度要求，密码要求可配置；（2）生成符合要求的随机密码，密码要求可配置；（3）提供pam模块用以验证密码复杂度，密码要求可配置 结论：不需要引入到openEuler社区。 2、phpass功能：可移植的PHP密码哈希框架/usr/share/php/phpass/PasswordHash.php 结论：不需要引入到openEuler社区。 3、tcb功能：（1）备用密码屏蔽方案，作为/etc/shadow的替代；（2）pam_tcb作为pam_unix的替代，密码认证模块 遗留任务：调查与pam_unix的区别及业界发展趋势，再分析是否需要引入 —— 郭晓琪 下次安全委员会会议时间：3月24日， 主持人：颜小兵 From: openEuler conference [mailto:public@openeuler.io] Sent: Tuesday, March 16, 2021 11:32 AM To: dev@openeuler.org; openeuler-security@openeuler.org; tc@openeuler.org Subject: [openeuler-security] openeuler安全委员会例会 您好！ openEuler security-committee SIG 邀请您参加 2021-03-17 16:00 召开的ZOOM会议(自动录制) 会议主题：openeuler安全委员会例会 会议内容： 1. 漏洞感知工具进展介绍 2. 社区漏洞处理进展介绍 会议链接：https://zoom.us/j/93616254724?pwd=cGZwU3VPT1plVG5OT0ZnY3ZUWGpjQT09 温馨提醒：建议接入会议后修改参会人的姓名，也可以使用您在gitee.com的ID 更多资讯尽在：https://openeuler.org/zh/ Hello! openEuler security-committee SIG invites you to attend the ZOOM conference(auto recording) will be held at 2021-03-17 16:00, The subject of the conference is openeuler安全委员会例会, Summary: 1. 漏洞感知工具进展介绍 2. 社区漏洞处理进展介绍 You can join the meeting at https://zoom.us/j/93616254724?pwd=cGZwU3VPT1plVG5OT0ZnY3ZUWGpjQT09. Note: You are advised to change the participant name after joining the conference or use your ID at gitee.com. More information<https://openeuler.org/zh/>