Un nouveau rapport a récemment été publié par la société de sécurité des développeurs Snyk et la Linux Foundation , concernant leurs recherches conjointes sur l'état de la sécurité des logiciels libres.
Dans leur publication, ils expliquent en détail que les résultats ne sont pas encourageants pour les entreprises, car il existe une grande variété de risques de sécurité importants découlant de l'utilisation généralisée de logiciels libres dans le développement d'applications modernes, ainsi que le nombre d'organisations actuellement mal préparées pour gérer efficacement ces risques.
Plus précisément, le rapport a révélé:
Plus de quatre organisations sur dix (41 %) ne sont pas très confiantes dans la sécurité de leurs logiciels open source ;
Le projet de développement d'application moyen a 49 vulnérabilités et 80 dépendances directes (code open source appelé par un projet) ; Oui,
Le temps nécessaire pour corriger les vulnérabilités dans les projets open source n'a cessé d'augmenter, passant de 49 jours en 2018 à 110 jours en 2021.
Il est à noter qu'en moyenne, un projet de développement d'application présente 49 vulnérabilités et 80 dépendances directes . De plus, le temps nécessaire à la correction des vulnérabilités dans les projets open source a augmenté de façon constante, plus que doublant, passant de 49 jours en 2018 à 110 jours en 2021.
» Les développeurs de logiciels d'aujourd'hui ont leurs propres chaînes d'approvisionnement : au lieu d'assembler des pièces automobiles, ils assemblent du code en joignant des composants open source existants avec leur code unique. Si cela conduit à une productivité et à une innovation accrues », explique Matt Jarvis, directeur des relations avec les développeurs chez Snyk. En collaboration avec la Fondation Linux, nous prévoyons de nous appuyer sur ces découvertes pour éduquer et équiper davantage les développeurs du monde entier, leur permettant de continuer à construire rapidement, tout en restant en sécurité. »
Parmi les autres constats, seulement 49 % des organisations disposent d'une politique de sécurité pour le développement ou l'utilisation de logiciels libres (et ce chiffre tombe à seulement 27 % pour les moyennes et grandes entreprises). Par ailleurs, 30 % des organisations sans politique de sécurité relative aux logiciels libres admettent ouvertement qu'aucun membre de leur équipe n'est directement responsable de la sécurité de ces logiciels.
La complexité de la chaîne d'approvisionnement est également une source d'inquiétude : plus d'un quart des personnes interrogées se disent préoccupées par l'impact de leurs dépendances directes sur la sécurité. Seuls 18 % se disent confiants dans les contrôles mis en place.
Jusqu'à présent, il est important de souligner deux situations : la première est celle où les développeurs intègrent un composant open source dans leurs applications ; ces dernières deviennent immédiatement dépendantes de ce composant et sont exposées à des risques si celui-ci contient des vulnérabilités.
L'autre et qui s'est vu fréquemment ces dernières années est que ce risque est également aggravé par des dépendances indirectes ou transitives, qui sont les dépendances des "autres dépendances", ici beaucoup de développeurs ne connaissent même pas ces dépendances, ce qui rend encore plus difficile à suivre et à protéger.
Avec cela, nous pouvons comprendre un peu que le rapport montre à quel point ce risque est réel, avec des dizaines de vulnérabilités découvertes dans de nombreuses dépendances directes dans chaque application évaluée. Cela dit, dans une certaine mesure, les personnes interrogées sont conscientes des complexités de sécurité créées par l'open source dans la chaîne d'approvisionnement logicielle actuelle :
Plus d'un quart des répondants ont déclaré être préoccupés par l'impact de leurs dépendances directes sur la sécurité ; seuls 18 % des répondants ont déclaré faire confiance aux contrôles dont ils disposent pour leurs dépendances transitives ; et, Quarante pour cent de toutes les vulnérabilités ont été trouvées dans les dépendances transitives.
Il est également important de mentionner que si ces entreprises ou développeurs ne sont pas "sûrs" avec les logiciels qu'ils utilisent, beaucoup d'entre nous penseront à la chose la plus logique, pour qu'ils "payent" ou "soutiennent le développement, soit en allouant des ressources ou développeurs", mais c'est ici qu'intervient l'un des grands débats sur les logiciels open source, à savoir si l'open source doit être "payé".
À ce titre, il existe de nombreux exemples de logiciels open source qui gèrent deux versions, qui sont payantes et gratuites, et même uniquement payantes, mais le code source est disponible.
D'autre part, il y a aussi eu des mouvements de développeurs et de grandes entreprises, dans lesquels ils décident de changer de modèle de distribution ou de passer à un modèle de paiement, par exemple QT.
Pour ceux qui souhaitent en savoir plus sur cet article, vous trouverez les détails en suivant ce lien.