开源软件的安全问题有多严重？
极客时间编辑部
讲述：初明明大小：4.94M时长：05:24
你好，欢迎收听极客视点。
今年 3 月，安全公司 WhiteSource 发布了一份《开源安全年度报告》。报告表明，2019 年，公开披露的开源安全漏洞数量再创新高，比 2018 增长近 50%。这份报告表明，开源软件的安全问题非常严重。具体有多严重呢？奇安信代码安全事业部总经理黄永刚在接受InfoQ记者万佳采访时，透露了两个重大问题。以下为访谈重点内容。
两个重大发现
2015 年，奇安信代码安全事业部发起“开源项目检测计划”。目前，该项目已经对 3000 多款开源软件进行了安全检测，并帮助许多开源项目修复了代码安全缺陷，包括 Google、Facebook、腾讯、阿里等旗下的开源项目。
据悉，通过开源项目检测计划，团队发现开源软件的安全问题确实非常严重。相关数据分析和统计显示，开源软件的代码安全缺陷密度是 14.22/KLOC，高危安全缺陷密度为 0.72/KLOC。换句话说，每 1000 行开源软件代码中就有 14 个安全缺陷，每 1400 行开源软件代码中就有 1 个高危安全缺陷。
另一个发现是，开源软件之间的关联依赖，导致开源软件的漏洞管理非常复杂。如果不用系统化的工具来做这件事，几乎不可能完成。
而开源软件最值得关注的安全问题是其放大作用。简言之，一个开源软件出现漏洞，会导致依赖它的其他开源软件受到影响，而且层层关联依赖，这就导致非常隐蔽和复杂的攻击面。
三大原因
在软件开发上，无论是技术方面，还是流程和管理方面，任何一点疏忽都会导致开源软件出现安全问题。
具体说来，有三方面的原因：
开源软件开发者自身的技术能力和安全开发知识存在问题，导致开发的代码中有安全缺陷；
大多数开源项目的开发缺少安全开发生命周期即 SDL 的流程和工具。并且，很多开源项目能使用的资源很有限，缺乏专业的代码安全分析工具，而大部分专业的代码安全分析工具都是收费的，价格昂贵；
攻击者对开源生态的攻击，比如向开源库中注入恶意代码、向包管理器仓库投放恶意组件等。
如何提高开源软件的安全性？黄永刚认为，从技术上，开源项目需要更系统地引入保障应用安全的流程、方法和工具，比如基于 SDL 的流程和理念管理开源项目的开发过程，并对开源项目开发者进行安全开发知识的普及。其次，使用源代码静态分析、动态安全测试、交互式安全测试等工具，并对开源项目开发者提交的代码进行全面的安全测试等。
从非技术角度来说，开源技术社区和安全技术社区可以加强交流和合作，形成互动和反馈，互相促进。开发和安全的良性互动，是解决软件安全问题非常重要的前提。
五条安全建议
针对软件开发者和企业，黄永刚建议从引入控制、资产梳理、风险识别、漏洞告警和合理修复五个方面加强开源软件的安全治理。
1. 引入控制
企业应规范开源软件的引入流程，建立开源软件安全引入和退出机制。同时，对开源软件的引入需要加入安全评估因素，不仅需要评估项目团队引入的开源软件是否存在公开漏洞和开源法律风险，而且企业应进行完整性验证，开源软件是否来自官方，避免使用被篡改的开源软件。
2. 资产梳理
无论是软件开发者，还是企业，它们在软件开发过程中会引入大量开源软件。然而，企业的安全管理者和开发管理者常常不清楚自身的信息系统到底引入了多少开源软件，引入了哪些开源软件。开源软件有着层层嵌套的依赖关系，软件开发者或企业很难通过人工方式进行梳理。因此，建议使用专业的自动化工具识别软件系统中含有哪些开源软件以及开源软件之间的关联关系，形成企业开源软件可视化资产清单。
3. 风险识别
软件中使用的开源软件可能存在已知漏洞，且这些开源软件背后调用或依赖的其他开源软件也可能存在已知安全漏洞。在软件开发过程中，企业应及时发现存在漏洞的开源软件版本并进行升级。
4. 漏洞告警
在软件运行阶段，企业应监控开源软件漏洞情报信息，及时发现开源软件的最新漏洞信息，并进行应急响应。
5. 合理修复
绝大多数的开源软件是通过版本更新实现漏洞修复的。对于不能通过升级新版本或打补丁来修复的漏洞，企业应引入专业的漏洞研究队伍，定制漏洞修复方案。
以上就是今天的内容，希望对你有所帮助。
公开
同步至部落
取消
完成
0/2000
荧光笔
直线
曲线笔记
复制
AI
- 深入了解
- 翻译
- 解释
- 总结
该免费文章来自《极客视点》，如需阅读全部文章，
请先领取课程
请先领取课程
免费领取
© 版权归极客邦科技所有，未经许可不得传播售卖。 页面已增加防盗追踪，如有侵权极客邦将依法追究其法律责任。
登录 后留言
全部留言(2)
- 最新
- 精选
- lcqbug建议使用专业的自动化工具识别软件系统中含有哪些开源软件以及开源软件之间的关联关系，形成企业开源软件可视化资产清单。那么有哪些相关的值得推荐的工具呢？3
小斧开源软件开发者自身的技术能力和安全开发知识存在问题，导致开发的代码中有安全缺陷； 大多数开源项目的开发缺少安全开发生命周期即 SDL 的流程和工具。并且，很多开源项目能使用的资源很有限，缺乏专业的代码安全分析工具，而大部分专业的代码安全分析工具都是收费的，价格昂贵； 攻击者对开源生态的攻击，比如向开源库中注入恶意代码、向包管理器仓库投放恶意组件等。2
收起评论