Google, dass sich selbst als langjähriger Förderer und Investor von Rust bezeichnet, hat Audits für Rust-Crates veröffentlicht, die das Unternehmen in Open-Source-Google-Projekten verwendet.

Crates sind bei Rust Softwarekomponenten, die mit Paketen in anderen Sprachen vergleichbar sind. Rust mache es einfach, Code in Crates zu kapseln und weiterzugeben, berichtet Google. Man nutze im Konzern das breite Ökosystem der Open-Source-Rust-Crates, indem man Crates von Dritten einsetze aber auch eigene Crates veröffentliche.

Jeder Code von Dritten berge ein gewisses Risiko. Bevor ein Projekt ein Crate verwende, werde es in der Regel durch die Mitglieder geprüft, um es etwa an den Standards für Sicherheit zu messen. Da es in Googles Open-Source-Projekten viele gleiche Abhängigkeiten gebe, wäre es doppelter Aufwand wenn verschiedene Projekte dieselbe Crates prüfen würden, heißt es im Blogbeitrag. Deshalb hjabe man begonnen Audits projektübergreifend zu nutzen. Und diese Audits stelle man nun der breiteren Open-Source-Gemeinschaft zur Verfügung.

Die Audits der Crates würden kontinuierlich gesammelt und auf GitHub in Googles Supply-Chain-Repository veröffentlicht. Sie arbeiten laut Google mit Cargo Vet zusammen, um mechanisch zu verifizieren, dass ein Mensch alle Abhängigkeiten geprüft und ihre relevanten Eigenschaften aufgezeichnet habe und diese Eigenschaften die Anforderungen für das aktuelle Projekt erfüllten, berichtet Google

Die Audits, die die Eigenschaften vieler Open-Source-Rust-Crates bescheinigen, ließen sich problemlos in eigene Projekte importieren, heißt es weiter. Ausgestattet mit diesen Daten könne man entscheiden, ob die Crates die Anforderungen an Sicherheit, Korrektheit und Tests für die jeweiligen Projekte erfüllen würden.

Der Beitrag Google veröffentlicht Audits zu Rust Crates erschien zuerst auf Linux-Magazin.