近日，軟件和芯片設計公司 Synopsys 發布《2020 年開源安全和風險分析報告》，指出不安全的開源軟件已無處不在。一方面，99% 的審計代碼庫中至少包含一個開源組件，另一方面，經過審核的代碼庫中有 75％ 包含具有已知安全漏洞的開源組件，老化和廢棄的開源組件也無處不在。

　　3 月，安全和許可證合規性管理解決方案提供商 WhiteSource 同樣發布了一份《2019 年開源組件安全漏洞現狀報告》。統計顯示，2019 年公開的開源軟件漏洞數量激增至 6000 多個，增幅達近 50%，原因包含開源軟件應用的擴大。

　　兩份報告指向同個現象——開源軟件的應用已非常廣泛，開源和“我們必須只使用專有代碼”的想法間的戰爭已經結束了，取而代之的是對開源軟件是否安全的討論。

　　關注和應用的增加帶來更多安全問題

　　WhiteSource 在報告中說明，開源軟件漏洞數量的上升可以歸因于開放源組件的廣泛采用，過去幾年開源社區的大量增長，以及媒體對最近一些數據泄露事件的報道，（使得人們）對開放源代碼安全的關注提高。

　　正如 Synopsys 公司的報告中所提到的，開源組件和庫是每個行業每個應用程序的基礎。

　　Synopsys 公司的開源安全工具和審計團隊——黑鴨審計針對 17 個行業的 1253 個代碼庫進行審計，具體包括企業服務/SaaS，保健，生命科學，金融服務，物聯網，電信，計算機硬件等行業，其中 99% 包含開源組件，有 9 個行業的審計代碼庫中 100% 包含開源組件。此外，Synopsys 在 2015 年審計中發現，開源代碼占比為 36%，這一比例到 2019 年幾乎翻了一番，達到 70%。具體數量上，2019 年每個代碼庫平均有 445 個開源組件，較 2018 年的 298 個顯著增加。

　　“開源（之前）一直被視為愛好者和修補者的領域，但它現在已經是現代經濟的組成部分，是智能手機、汽車、物聯網和許多關鍵基礎設施等日常技術的基本組成部分”，Linux 基金會和哈佛大學年初也發布了一份開源軟件安全性審查結果，其聯合主任弗蘭克·納格爾表示開源應用已非常廣泛。

　　同時，開源社區的力量也正在壯大。曾經極力反對開源的微軟，2019 年已成為 GitHub 上開源貢獻最多的企業，緊隨其后的還有 Google、Red Hat、IBM、Intel 等科技巨頭。國內企業阿里的開源貢獻排名第 12，百度和騰訊分列第 21、23 位。

　　隨應用一起擴大的還有風險。Synopsys 的報告顯示，49% 的已審計代碼庫中包含高風險漏洞。

　　早在 2006 年的 LinuxWorld 大會上，Linux 內核維護人 Alan Cox 就強調，有相當數量的資金被用來攻擊開放源代碼系統，許多開放源代碼項目遠談不上安全，“許多分析只關注知名度很高的項目，只有部分項目的‘高質量’是名副其實的。”

　　但開源軟件安全引起廣泛而激烈的討論是由于 2014 年的一個安全漏洞。當時網景公司旗下開源密碼庫 OpenSSL 中的 Heartbleed 安全漏洞被發現。這個漏洞影響了近 20%，即 50 萬的 Web 服務器，中國也有超過 3 萬臺主機受到影響。據搜索引擎商 Shodan 報告，該漏洞截至 2019 年底，引起了 91000 多起脆弱性事件。

　　Heartbleed 甚至直接導致 Linux 基金會啟動了一項“核心基礎設施計劃”（CII），以支持開源軟件項目安全性。而且 CII 在過去 6 年中，已為開源安全籌集了數百萬美元。

　　另外，2017 年，Apache Sturts 的一個漏洞被發現。Struts 是一種開源的 MVC 框架，用于創建基于 Java 的 Web 應用。Apache Struts 團隊很快打了補丁，并關閉了該問題。但 5 月，有人利用該漏洞開始攻擊征信企業 Equifax，兩個月后才被發現。期間，Equifax 有 20.9 萬名客戶的信用卡號被訪問，數據泄露，最終涉及到 1.45 億用戶。事后，Equifax 被重罰 7 億美元，時任 CEO 引咎辭職。

　　這兩個漏洞被 Synopsys 的報告稱為是“臭名昭著”的，因此他們也專門做了追蹤，而在這次的審計中，兩個漏洞都未出現，“盡管我們取得了成果，但心臟出血（Heartbleed）依舊是個全球問題……自 2015 年以來，經審計的代碼庫中發現漏洞的平均年齡略低于 4.5 年，存在超過 10 年的漏洞占比為 19%，審計中發現的最古老的漏洞已經存在 22 年，為 CVE-1999- 0061。”

　　該報告還顯示，91% 的代碼庫中包含已經過時超過 4 年或者過去 2 年內都沒有開發跡象的開源組件。除了增加安全風險外，在版本控制中落后太遠的危險是——更新到最新版本的簡單行為會帶來不必要的功能更改，例如關鍵功能的消失。在過去兩年中，有 88 個代碼庫的組件沒有開發活動，面臨更高的漏洞風險。

　　開源依舊被認為可提高軟件安全性

　　不過，對于 Heartbleed 事件以及開源軟件漏洞，有開發者認為，閉源軟件如 Windows 系統及其 IIS 服務中，漏洞較之開源軟件更多。有時，這些漏洞也更嚴重。開源并不會導致更多風險。

　　1 月，美國國家安全局公布了一個 Windows 10 的漏洞，該漏洞使全球約 10 億多臺 PC 易受攻擊。這一漏洞被叫做“永恒之黑”，有人稱其為微軟又一“史詩級”漏洞。早在 2017 年 4 月 14 日，可以利用 Windows 系統的 SMB 漏洞獲取系統最高權限的“永恒之藍”網絡攻擊工具被發布，5 月 12 日，不法分子通過改造“永恒之藍”制作了 Wannacry 勒索病毒，英國、俄羅斯、整個歐洲以及中國國內多個高校校內網、大型企業內網和政府機構專網被勒索，需支付高額贖金才能解密恢復文件。

　　上個月，Kenna Security發布了《 Prioritization to Prediction: Volume 5: In Search of Assets at Risk》報告，分析Microsoft、Linux 和 Mac 資產的風險狀況。報告顯示，微軟資產的 70％ 至少具有一個高風險漏洞，其余未修補的3600 萬個漏洞要高于 Max、Linux 和 Unix 資產的總和。微軟還擁有最高的封閉式高風險漏洞百分比，為 83％，Linux 中這一比例僅有 40%。不過報告也指出，Microsoft 可以更快地修復漏洞。

　　在一些場景中，開源依舊被認為是保障安全的有效方式。開源“圣經”《大教堂與集市》中也提到開源可以保障安全的原因：開源社區最強大的一個強項是非中心化的同行評審，所有致力于細節不被疏漏的傳統方法，都無法和它相比。

　　近期，特朗普稱一些外國電力設備可能會利用美國大功率電力系統的漏洞進行攻擊，因此他簽署了一項電力設備禁令。對此，美國的一項開放源代碼電力系統計劃公司 LF Energy 的 CEO 表示，電力設備風險并不完全是硬件的問題，應該更加關注的是攻擊面和風險點的所在，比如嵌入系統的固件問題。因此，應該開源設備中的硬件和軟件，甚至直接對整個堆棧進行開源：“在未來，無論是民族國家還是大型能源公司，惡意攻擊者都可以訪問和攻擊 OEM 的黑盒，而想要檢驗電網唯一的方法就是使用開源，在一個開放的社區中，具有開放的治理和完全的透明度。”

　　美國軍方國防高級研究計劃局年初推出“開放可編程安全 5G”（OPS-5G）新計劃。計劃承諾創建支持安全 5G 以及后續移動網絡（比如 6G）的開源軟件和系統。原因在于，開源軟件在安全方面的一大優勢就是提高了代碼可見性，這意味著可以檢查、分析和審核代碼，這項工作可以手動進行，也可借助自動化工作進行。此外，開源的可移植性有助于硬件生態系統和軟件生態系統相脫離，大大提高了供應鏈攻擊的難度。

　　有觀點認為，開源軟件更方便使用者檢查有無后門，這對一些國家級的大型項目來說，可保證高度可控。此外，軟件可信性僅和分發途徑有關，軟件本身的質量與軟件廠商關系更大，而開源開發在很多情形下，因為有“同行評審”，所以更加安全。

　　多份報告建議公司重視管理開源軟件

　　開源軟件安全問題多被認為是源于管理上的疏漏。多項研究在討論開源軟件安全問題的時候，都反復提到這一點。

　　“隨著開源軟件越來越受歡迎，識別和減輕已知的漏洞，是開放源碼管理的一個關鍵因素”，Synopsys 在報告中表示。此外，Gartner 分析師 Dale Gardner 在分析軟件組成現狀時說，“成熟的組織正在擴大開放源碼管理，以包括根據給定軟件包的來源和支持，對軟件整體‘健康’的評估。”

　　在 Synopsys 發布《2020 年開源安全和風險分析報告》和奇安信代碼安全事業部發起“開源項目檢測計劃”，Linux 基金會聯合哈佛大學 2 月發布的《開源軟件供應鏈安全報告》，以及《提高開源軟件信任與安全報告》中，均總結了一些開源軟件出現安全問題的原因。撇去一些存在于所有軟件中的通病，如開發人員的技術能力和安全知識問題等，大致可以歸為以下幾點：

• 開源軟件使用者更新不及時。許多組織在使用任何給定的開源組建的最新版本放上面落后得驚人。開源社區對軟件的更新更快，但是大量使用開源組件的公司沒有應用他們需要的補丁，使得業務面臨被攻擊風險。
• 開源項目缺乏管理工具。大多數開源項目的開發缺少 SDL（安全開發生命周期）的流程和工具；許多開源項目關注少，資源有限；開源軟件之間的關聯依賴，導致開源軟件的漏洞管理非常復雜；如果漏洞污染的是基本對象的原型，可能會影響應用程序中所有對象的行為。
• 攻擊者對開源生態的攻擊，比如向開源庫中注入惡意代碼、向包管理器倉庫投放惡意組件等。如 2019 年 8 月，開源的系統管理工具 Webmin 被爆存在高風險遠程命令執行漏洞，據 Webmin 開發人員透露，該漏洞不是編碼錯誤的后果，而是“惡意代碼注入受損的基礎架構中”導致的。
• 開源項目分發不合規。如公共注冊中心或開源軟件市場沒有對進入的開源項目進行代碼審核，導致安全問題增多。

　　許多問題都指向公司對開源軟件缺乏正確的管理。而這些報告也同樣給出了一些防患開源軟件漏洞的措施。

• 盤點自己的開源項目，做資產梳理。Synopsys 的報告中建議使用軟件物料清單 BOM，為開源組件提供充分的可見性。也有建議公司可引入控制，建立開源軟件安全引入和退出機制。
• 有效識別漏洞并警告。Synopsys 公司認為，只有小部分開源漏洞會被利用，在開源組建的生命周期內，需要設置漏洞修補優先級。同樣，奇安信代碼安全事業部總經理黃永剛建議，企業應及時發現存在漏洞的開源軟件版本并進行升級。在軟件運行階段，企業需監控開源軟件漏洞情報信息，及時響應。
• 組建專業團隊。包括成立安全小組，監測外部威脅和脆弱性披露的變化；組織開發和法律團隊；創建管理開源活動的策略等等。

　　開源開發往往被認為是“常發布”（Release often）以及“更少漏洞”的，但近期的幾份報告將目光放到更廣泛的開源應用中去，得出相反的結論——使用者往往不能及時更新軟件，這可能造成安全風險。

　　關于開源比閉源安全還是更危險，一直以來都會引起激烈的討論，你覺得開源能讓軟件中的漏洞得到更快修補，更好地保障軟件安全嗎？

總結

以上是生活随笔為你收集整理的开源让软件更加安全了吗？的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。