Isang bagong ulat ang inilathala kamakailan ng developer security firm na Snyk at ng Linux Foundation , tungkol sa kanilang magkasanib na pananaliksik sa estado ng seguridad ng open source software.
Sa kanilang publikasyon, idinetalye nila na ang mga resulta ay hindi nakapagpapatibay-loob para sa mga kumpanya, dahil mayroong iba't ibang mahahalagang panganib sa seguridad na resulta ng malawakang paggamit ng open source software sa pagbuo ng mga modernong aplikasyon, pati na rin kung gaano karaming mga organisasyon ang kasalukuyang hindi handa na pamahalaan nang epektibo ang mga panganib na ito.
Sa partikular, natagpuan ng ulat ang:
Mahigit sa apat sa sampung (41%) na organisasyon ang hindi masyadong kumpiyansa sa seguridad ng kanilang open source software;
Ang karaniwang application development project ay may 49 na mga kahinaan at 80 direktang dependencies (open source code na tinatawag ng isang proyekto); Y,
Ang oras na kinakailangan upang ayusin ang mga kahinaan sa mga open source na proyekto ay patuloy na tumataas, higit sa pagdodoble mula 49 araw sa 2018 hanggang 110 araw sa 2021.
Nabanggit na, sa karaniwan, ang isang proyekto sa pagbuo ng aplikasyon ay may 49 na kahinaan at 80 direktang dependency . Bukod pa rito, ang oras na kinakailangan upang ayusin ang mga kahinaan sa mga open-source na proyekto ay patuloy na tumaas, mahigit doble mula 49 na araw noong 2018 hanggang 110 araw noong 2021.
» Ang mga developer ng software ngayon ay may sariling mga supply chain: sa halip na mag-assemble ng mga piyesa ng kotse, mag-assemble sila ng code sa pamamagitan ng pagsali sa mga kasalukuyang bahagi ng open source gamit ang kanilang natatanging code. Kung humahantong ito sa pagtaas ng produktibidad at pagbabago, "paliwanag ni Matt Jarvis, Direktor ng Mga Relasyon ng Developer sa Snyk. Kasama ang Linux Foundation, pinaplano naming buuin ang mga natuklasang ito upang higit pang turuan at bigyan ng kasangkapan ang mga developer sa buong mundo, na nagbibigay-daan sa kanila na patuloy na bumuo ng mabilis, habang nananatiling ligtas."
Sa iba pang mga natuklasan, 49% lamang ng mga organisasyon ang may patakaran sa seguridad para sa pagbuo o paggamit ng libreng software (at ang bilang na ito ay bumababa sa 27% lamang para sa mga katamtaman at malalaking kumpanya). Samantala, 30% ng mga organisasyon na walang patakaran sa seguridad ng libreng software ay hayagang inaamin na walang sinuman sa kanilang koponan ang direktang responsable para sa seguridad ng libreng software.
Ang kasalimuotan ng supply chain ay isa ring alalahanin , kung saan mahigit isang-kapat ng mga respondent ang nagpapahiwatig na sila ay nag-aalala tungkol sa epekto sa seguridad ng kanilang mga direktang dependency. 18% lamang ang nagsasabing may tiwala sila sa mga kontrol na mayroon sila.
Hanggang sa puntong ito, mahalagang bigyang-diin ang dalawang sitwasyon , ang una ay kapag isinama ng mga developer ang isang open source na component sa kanilang mga aplikasyon, agad itong nagiging depende sa component na iyon at nasa panganib kung ang component na iyon ay naglalaman ng mga kahinaan.
Ang isa pa at na madalas na nakikita sa mga nakaraang taon ay ang panganib na ito ay pinalala rin ng hindi direkta o palipat na mga dependency, na mga dependency ng "iba pang mga dependencies", dito maraming mga developer ay hindi kahit na alam ang tungkol sa mga dependencies, na ginagawang kahit na mas mahirap subaybayan at protektahan.
Sa pamamagitan nito, medyo mauunawaan namin na ang ulat ay nagpapakita kung gaano katotoo ang panganib na ito, na may dose-dosenang mga kahinaan na natuklasan sa maraming direktang dependency sa bawat application na sinusuri. Sabi nga, sa ilang lawak, alam ng mga respondent ang mga kumplikadong seguridad na nilikha ng open source sa software supply chain ngayon:
Mahigit sa isang-kapat ng mga respondent ang nagsabing nag-aalala sila tungkol sa epekto sa seguridad ng kanilang mga direktang dependency, 18% lang ng mga respondent ang nagsabing pinagkakatiwalaan nila ang mga kontrol na mayroon sila para sa kanilang mga transitive dependencies; at, Apatnapung porsyento ng lahat ng mga kahinaan ay natagpuan sa mga transitive dependencies.
Mahalaga rin na banggitin na kung ang mga kumpanya o developer na ito ay hindi "ligtas" sa software na kanilang ginagamit, marami sa atin ang mag-iisip ng pinaka-lohikal na bagay, upang sila ay "magbayad" o "suporta sa pag-unlad, alinman sa pamamagitan ng paglalaan ng mga mapagkukunan o developer", ngunit dito sa puntong ito ay kung saan ang isa sa mga mahusay na debate ng open source software ay pumapasok, kung saan kung ang open source ay dapat na "bayaran".
Dahil dito, maraming mga halimbawa ng open source software na humahawak ng dalawang bersyon, na binabayaran at libre, at kahit na binayaran lamang, ngunit ang source code ay magagamit.
Sa kabilang banda, mayroon ding mga paggalaw ng mga developer at malalaking kumpanya, kung saan nagpasya silang baguhin ang modelo ng pamamahagi o lumipat sa isang modelo ng pagbabayad, halimbawa QT.
Para sa mga interesadong matuto nang higit pa tungkol sa artikulo, maaari ninyong makita ang mga detalye sa sumusunod na link.