EPPlusについて

EPPlusの動作方法

EPPlus 自身のランタイムは持っていません。これはホストアプリケーションのプロセスにロードされ、そのプロセス内で完全に実行されるライブラリです。これにより、そのセキュリティプロファイルには以下のような影響があります。

• EPPlus は独自のプロセスで動作しません。参照するアプリケーション内でプロセス中のコードとして動作します。
• EPPlus 自身のデータベースや永続ストレージを管理していません。ファイルやデータの処理はホストアプリケーションの代理として行われます。
• EPPlus ネットワークコールは行いません。すべてのファイルI/Oはホストプロセスにローカルで行われます。
• EPPlus 認証や認可の仕組みはありません。ユーザーの識別、認証情報の発行、アクセスの制御も行いません。
• EPPlus 独自のインフラは持っていません。サーバーもクラウドサービスもホストされたエンドポイントもありません。
• ペネトレーションテストはホストアプリケーションの文脈でのみ意味を持ちます。なぜなら EPPlus は独立したランタイムやネットワークサーフェスを公開しないからです。意味のあるセキュリティテストは、 EPPlusを使用するホストアプリケーションのレベルで行われます。

これがセキュリティ評価に意味するのは何でしょうか

多くの標準的なセキュリティ質問票はSaaS製品やネットワークサービス向けに設計されています。TLSの設定、アクセスログ、ユーザープロビジョニング、インフラ強化、ランタイム監視に関する質問は、 EPPlusには適用されません。なぜなら、 EPPlus はこれらのサーフェスを提供していないからです。

このサイト EPPlus に適用されるセキュリティ上の懸念については、本サイトの他のセクションで説明されています。

• リリースの完全性 — リリースが改ざんされていないことを確認する方法は コード署名 を参照してください。
• 依存性の整合性 — 各リリースの全コンポーネント在庫については ソフトウェアの材料明細 を参照してください。
• 既知の脆弱性 — 開示された問題や評価については脆弱性 開示 を参照してください。

安全な開発の実践

EPPlus は、セキュリティ関連の欠陥を含む欠陥を早期に発見することを目的とした一連の実践のもとで開発されています。

• すべてのコード変更はプルリクエストを通じて行われ、統合前に EPPlus チームの他のメンバーがレビュー・承認しなければなりません。このプロセスは公開されており、 EPPlusのGitHubリポジトリで行われます。
• すべての変更はリリース前に数千のユニットテストを経てCI/CDパイプラインを経ます。
• ソースコードは GitHub CodeQLのプッシュごとに分析されます。詳細は ソースコードスキャン を参照してください。
• 依存関係は既知の脆弱性がないか継続的にスキャンされます。詳細は脆弱性 スキャン を参照してください。