Vývojářská bezpečnostní firma Snyk a Linux Foundation nedávno zveřejnily novou zprávu o svém společném výzkumu stavu bezpečnosti softwaru s otevřeným zdrojovým kódem.
Ve své publikaci podrobně uvádějí, že výsledky nejsou pro firmy povzbudivé, jelikož existuje široká škála významných bezpečnostních rizik , která vyplývají z rozsáhlého používání softwaru s otevřeným zdrojovým kódem při vývoji moderních aplikací, a také to, kolik organizací je v současné době špatně připraveno na efektivní řízení těchto rizik.
Konkrétně zpráva zjistila:
Více než čtyři z deseti (41 %) organizací si příliš nevěří v bezpečnost svého softwaru s otevřeným zdrojovým kódem;
Průměrný projekt vývoje aplikací má 49 zranitelností a 80 přímých závislostí (otevřený zdrojový kód volaný projektem); Y,
Doba potřebná k opravě zranitelných míst v projektech s otevřeným zdrojovým kódem se neustále zvyšuje, více než zdvojnásobila se ze 49 dnů v roce 2018 na 110 dnů v roce 2021.
Uvádí se, že projekt vývoje aplikace má v průměru 49 zranitelností a 80 přímých závislostí . Navíc doba potřebná k opravě zranitelností v open-source projektech neustále roste, více než se zdvojnásobila ze 49 dnů v roce 2018 na 110 dnů v roce 2021.
» Dnešní vývojáři softwaru mají své vlastní dodavatelské řetězce: místo sestavování automobilových dílů sestavují kód spojením existujících open source komponent s jejich jedinečným kódem. Pokud to povede ke zvýšení produktivity a inovací,“ vysvětluje Matt Jarvis, ředitel pro vztahy s vývojáři ve společnosti Snyk. Společně s Linux Foundation plánujeme stavět na těchto zjištěních a dále vzdělávat a vybavovat vývojáře po celém světě, což jim umožní pokračovat v rychlém vývoji a přitom zůstat v bezpečí.“
Mimo jiné zjištění uvádí, že pouze 49 % organizací má bezpečnostní politiku pro vývoj nebo používání svobodného softwaru (a u středních a velkých společností toto číslo klesá na pouhých 27 %). 30 % organizací bez bezpečnostní politiky svobodného softwaru zároveň otevřeně přiznává, že nikdo v jejich týmu není přímo zodpovědný za bezpečnost svobodného softwaru.
Složitost dodavatelského řetězce je také problémem , přičemž více než čtvrtina respondentů uvedla, že se obává bezpečnostního dopadu na své přímé závislosti. Pouze 18 % uvádí, že má důvěru v zavedené kontrolní mechanismy.
Doposud je důležité zdůraznit dvě situace . První z nich je, když vývojáři začlení komponentu s otevřeným zdrojovým kódem do svých aplikací, stanou se na této komponentě okamžitě závislými a jsou ohroženi, pokud tato komponenta obsahuje zranitelnosti.
Další a to, co bylo v posledních letech často vidět, je, že toto riziko zvyšují i nepřímé nebo tranzitivní závislosti, což jsou závislosti „jiných závislostí“, zde mnoho vývojářů o těchto závislostech ani neví, takže je dokonce těžší sledovat a chránit.
Díky tomu můžeme trochu pochopit, že zpráva ukazuje, jak reálné toto riziko je, s desítkami zranitelností objevených v mnoha přímých závislostech v každé hodnocené aplikaci. Respondenti si však do určité míry uvědomují složitost zabezpečení vytvářenou open source v dnešním dodavatelském řetězci softwaru:
Více než čtvrtina respondentů uvedla, že se obávají bezpečnostního dopadu svých přímých závislostí, pouze 18 % respondentů uvedlo, že důvěřují kontrolám, které mají pro své přechodné závislosti; a,Čtyřicet procent všech zranitelností bylo nalezeno v tranzitivních závislostech.
Je také důležité zmínit, že pokud tyto společnosti nebo vývojáři nejsou „v bezpečí“ se softwarem, který používají, mnohé z nás napadne ta nejlogičtější věc, a to tak, že „zaplatí“ nebo „podporí vývoj, ať už alokací zdrojů nebo vývojáři“, ale zde v tomto bodě přichází na řadu jedna z velkých debat o softwaru s otevřeným zdrojovým kódem, kde by se měl open source „platit“.
Jako takový existuje mnoho příkladů open source softwaru, který zvládá dvě verze, které jsou placené a bezplatné, a dokonce pouze placené, ale zdrojový kód je dostupný.
Na druhou stranu došlo i k pohybům vývojářů a velkých společností, ve kterých se rozhodnou změnit distribuční model nebo přejít na platební model, například QT.
Pro ty, kteří se chtějí o článku dozvědět více , jsou podrobnosti k dispozici na následujícím odkazu.