Hiljuti avaldasid arendajate turvafirma Snyk ja Linux Foundation uue aruande oma ühise uurimistöö kohta avatud lähtekoodiga tarkvara turvalisuse olukorra kohta.
Oma publikatsioonis kirjeldavad nad üksikasjalikult, et tulemused ei ole ettevõtete jaoks julgustavad, kuna avatud lähtekoodiga tarkvara laialdane kasutamine tänapäevaste rakenduste arendamisel toob kaasa mitmesuguseid olulisi turvariske ning kui paljud organisatsioonid on praegu halvasti ette valmistatud nende riskide tõhusaks haldamiseks.
Täpsemalt leiti aruandest:
Rohkem kui neli kümnest (41%) organisatsioonist ei ole oma avatud lähtekoodiga tarkvara turvalisuses kuigi kindlad;
Keskmisel rakenduste arendusprojektil on 49 haavatavust ja 80 otsest sõltuvust (projekti poolt kutsutud avatud lähtekoodiga); ja
Avatud lähtekoodiga projektides haavatavuste parandamiseks kuluv aeg on pidevalt pikenenud, enam kui kahekordistunud 49 päevalt 2018. aastal 110 päevale 2021. aastal.
Mainitakse, et keskmiselt on rakenduste arendusprojektil 49 haavatavust ja 80 otsest sõltuvust . Lisaks on avatud lähtekoodiga projektides haavatavuste parandamiseks kuluv aeg pidevalt pikenenud, enam kui kahekordistudes 49 päevalt 2018. aastal 110 päevani 2021. aastal.
» Tänapäevastel tarkvaraarendajatel on oma tarneahelad: autoosade kokkupanemise asemel panevad nad kokku koodi, ühendades olemasolevad avatud lähtekoodiga komponendid oma unikaalse koodiga. Kui see suurendab tootlikkust ja innovatsiooni,” selgitab Matt Jarvis, Snyki arendajasuhete direktor. Koos Linuxi sihtasutusega kavatseme nendele leidudele tugineda arendajate edasiseks harimiseks ja varustamiseks kogu maailmas, võimaldades neil jätkata kiiret ehitamist, jäädes samas turvaliseks.
Muuhulgas on vaid 49%-l organisatsioonidest olemas vaba tarkvara arendamise või kasutamise turvapoliitika (ja see näitaja langeb keskmiste ja suurte ettevõtete puhul vaid 27%-ni). Samal ajal tunnistab 30% organisatsioonidest, kellel puudub vaba tarkvara turvapoliitika, avalikult, et keegi nende meeskonnas ei vastuta otseselt vaba tarkvara turvalisuse eest.
Samuti on mureks tarneahela keerukus , kusjuures üle veerandi vastanutest on öelnud, et nad on mures oma otseste sõltuvuste mõju pärast turvalisusele. Ainult 18% ütleb, et nad usaldavad oma kehtestatud kontrollimeetmeid.
Siiani on oluline esile tõsta kahte olukorda . Esimene neist on see, et kui arendajad lisavad oma rakendustesse avatud lähtekoodiga komponendi, muutuvad nad kohe sellest komponendist sõltuvaks ja on ohus, kui see komponent sisaldab haavatavusi.
Teine ja viimastel aastatel sageli nähtud on see, et seda riski suurendavad ka kaudsed või transitiivsed sõltuvused, mis on "teiste sõltuvuste" sõltuvused, siin paljud arendajad ei tea neist sõltuvustest isegi midagi, mis muudab selle isegi raskem jälgida ja kaitsta.
Selle põhjal saame pisut aru, et aruanne näitab, kui reaalne see risk on, kuna iga hinnatud rakenduse puhul on avastatud kümneid haavatavusi paljudes otsestes sõltuvustes. Sellegipoolest on vastajad teatud määral teadlikud avatud lähtekoodiga loodud turvalisuse keerukusest tänapäeva tarkvara tarneahelas:
Enam kui veerand vastajatest ütles, et tunneb muret oma otsese sõltuvuse mõju pärast turvalisusele; ainult 18% vastajatest ütles, et nad usaldavad oma transitiivsete sõltuvuste kontrollimehhanisme. ja XNUMX protsenti kõigist haavatavustest leiti transitiivsetes sõltuvustes.
Samuti on oluline mainida, et kui nendel ettevõtetel või arendajatel pole kasutatava tarkvaraga "turvaline", mõtlevad paljud meist kõige loogilisema asja, et nad "maksavad" või "toetavad arendust, kas eraldades ressursse või arendajad", kuid siin tulebki sisse üks suuri arutelusid avatud lähtekoodiga tarkvara üle, kus avatud lähtekoodiga peaks olema "tasuline".
Sellisena on palju näiteid avatud lähtekoodiga tarkvarast, mis käsitleb kahte versiooni, mis on tasulised ja tasuta ning isegi ainult tasulised, kuid lähtekood on saadaval.
Teisalt on toimunud ka arendajate ja suurettevõtete liikumisi, mille käigus otsustatakse muuta levitamismudelit või minnakse üle maksemudelile, näiteks QT-le.
Need, kes soovivad artikli kohta rohkem teada saada, saavad üksikasjad leida järgmiselt lingilt.