تم نشر تقرير جديد مؤخراً من قبل شركة Snyk لأمن المطورين ومؤسسة Linux ، حول بحثهما المشترك في حالة أمن البرمجيات مفتوحة المصدر.
ويوضحون في منشورهم أن النتائج ليست مشجعة للشركات، حيث توجد مجموعة واسعة من المخاطر الأمنية الكبيرة الناتجة عن الاستخدام الواسع النطاق للبرمجيات مفتوحة المصدر في تطوير التطبيقات الحديثة، فضلاً عن أن العديد من المؤسسات غير مستعدة حاليًا لإدارة هذه المخاطر بشكل فعال.
على وجه التحديد ، وجد التقرير:
أكثر من أربع من كل عشر (41٪) مؤسسات ليست واثقة جدًا من أمان برمجياتها مفتوحة المصدر ؛
يحتوي متوسط مشروع تطوير التطبيقات على 49 نقطة ضعف و 80 تبعيات مباشرة (يسمى رمز المصدر المفتوح بواسطة المشروع) ؛ نعم ،
يتزايد الوقت الذي يستغرقه إصلاح الثغرات الأمنية في المشاريع مفتوحة المصدر بشكل مطرد ، حيث تضاعف من 49 يومًا في عام 2018 إلى 110 يومًا في عام 2021.
يُذكر أن مشروع تطوير التطبيقات ، في المتوسط، يحتوي على 49 ثغرة أمنية و80 تبعية مباشرة . علاوة على ذلك، ازداد الوقت اللازم لإصلاح الثغرات الأمنية في مشاريع المصادر المفتوحة بشكل مطرد، حيث تضاعف أكثر من مرتين، من 49 يومًا في عام 2018 إلى 110 أيام في عام 2021.
»يمتلك مطورو البرمجيات اليوم سلاسل التوريد الخاصة بهم: فبدلاً من تجميع أجزاء السيارة ، يقومون بتجميع التعليمات البرمجية من خلال ضم المكونات مفتوحة المصدر الحالية مع التعليمات البرمجية الفريدة الخاصة بهم. إذا أدى ذلك إلى زيادة الإنتاجية والابتكار ، "يوضح مات جارفيس ، مدير علاقات المطورين في Snyk. جنبًا إلى جنب مع Linux Foundation ، نخطط للبناء على هذه النتائج لتثقيف وتجهيز المطورين حول العالم بشكل أكبر ، وتمكينهم من الاستمرار في البناء بسرعة ، مع الحفاظ على سلامتهم ".
من بين النتائج الأخرى، تبين أن 49% فقط من المؤسسات لديها سياسة أمنية لتطوير أو استخدام البرمجيات الحرة (وتنخفض هذه النسبة إلى 27% فقط في الشركات المتوسطة والكبيرة). في الوقت نفسه، تعترف 30% من المؤسسات التي لا تملك سياسة أمنية للبرمجيات الحرة صراحةً بأنه لا يوجد أي فرد في فريقها مسؤول بشكل مباشر عن أمن هذه البرمجيات.
يُعدّ تعقيد سلسلة التوريد مصدر قلق أيضاً ، حيث أعرب أكثر من ربع المشاركين في الاستطلاع عن قلقهم بشأن تأثير اعتمادهم المباشر على الأمن. وقال 18% فقط إنهم يثقون في الضوابط المطبقة لديهم.
حتى هذه النقطة، من المهم تسليط الضوء على حالتين ، الأولى هي عندما يقوم المطورون بدمج مكون مفتوح المصدر في تطبيقاتهم، حيث تصبح هذه التطبيقات معتمدة على هذا المكون على الفور وتكون عرضة للخطر إذا كان هذا المكون يحتوي على ثغرات أمنية.
والآخر والذي شوهد بشكل متكرر في السنوات الأخيرة هو أن هذا الخطر يتفاقم أيضًا بسبب التبعيات غير المباشرة أو العابرة ، والتي هي تبعيات "التبعيات الأخرى" ، وهنا لا يعرف الكثير من المطورين حتى عن هذه التبعيات ، مما يجعلها متساوية. من الصعب تتبعها وحمايتها.
من خلال هذا ، يمكننا أن نفهم قليلاً أن التقرير يوضح مدى حقيقة هذا الخطر ، مع اكتشاف العشرات من نقاط الضعف في العديد من التبعيات المباشرة في كل تطبيق تم تقييمه. ومع ذلك ، فإن المستجيبين على دراية إلى حد ما بالتعقيدات الأمنية التي أنشأتها المصادر المفتوحة في سلسلة توريد البرمجيات اليوم:
قال أكثر من ربع المستجيبين إنهم قلقون بشأن التأثير الأمني لتبعياتهم المباشرة ؛ قال 18٪ فقط من المستجيبين إنهم يثقون في الضوابط التي يمتلكونها في التبعيات العابرة ؛ ووجد أربعون في المائة من جميع نقاط الضعف في التبعيات متعدية.
من المهم أيضًا الإشارة إلى أنه إذا لم تكن هذه الشركات أو المطورين "آمنين" مع البرامج التي يستخدمونها ، فسيفكر الكثير منا في الأمر الأكثر منطقية ، بحيث "يدفعون" أو "يدعمون التطوير ، إما عن طريق تخصيص الموارد أو للمطورين "، ولكن هنا في هذه النقطة يأتي أحد أهم النقاشات حول البرمجيات مفتوحة المصدر ، حيث إذا كان يجب" الدفع "إذا كان المصدر المفتوح.
على هذا النحو ، هناك العديد من الأمثلة على البرامج مفتوحة المصدر التي تتعامل مع نسختين ، مدفوعة ومجانية ، وحتى مدفوعة فقط ، ولكن الكود المصدري متاح.
من ناحية أخرى ، كانت هناك أيضًا تحركات من قبل المطورين والشركات الكبيرة ، قرروا فيها تغيير نموذج التوزيع أو الانتقال إلى نموذج الدفع ، على سبيل المثال QT.
للمهتمين بمعرفة المزيد عن المقال، يمكنكم الاطلاع على التفاصيل عبر الرابط التالي.