Synopsys 公司近日发布了“2018 年开源代码安全和风险剖析” Black Duck（黑鸭）报告，深化调查了商业软件中开源安全性，容许证合规以及代码质量风险的状况。本次报告讨论的是从 2017 年审计的超过 1,100 个商业代码库中的匿名数据所得出的结果，行业包括汽车、大数据（主要是人工智能和商业智能）、网络安全、企业软件、金融效劳、医疗保健、物联网（IoT）、制造业和移动运用市场。

开源软件与定制代码相比，既不是更不安全，也不是更安全。但是，开源软件的某些特性使得盛行组件中的破绽对攻击者十分有吸引力。Black Duck（黑鸭）审计结果显示，如今，开源代码在商业运用和外部运用中无处不在，这在破绽被披露时为攻击者提供了目的十分丰厚的环境。破绽以及对破绽的应用通常是经过全国破绽数据库（NVD，National Vulnerability Database）、邮件列表和项目主页等来源停止披露的。

商业软件把更新自动推送给用户，而开源软件与之不同，后者采用一种拉动支持（pull support）形式，即：用户自行担任跟踪他们所运用的开源软件的破绽、修复和更新。开源代码可以经过多种方式进入代码库，不只可以经过第三方供应商和外部开发团队进入，也可以经过外部开发人员进入。假设一个组织机构不了解其所运用的一切开源代码，它就不能够抵御针对这些组件中已知破绽的常见攻击，并且它本人也会暴露在容许证合规风险之中。

2017 年，Black Duck On-Demand（黑鸭按需）审计在每个代码库中发现了 257 个开源组件。到 2018 年，每个代码库中开源组件的数量增长了约 75％。审计发现，96％ 的被扫描运用中存在开源组件，这一比例与去年的报告相似。而在被扫描的运用的代码库中，开源代码的平均比例从去年的 36％ 增长到 57％，这表明开源代码的运用量在继续大幅度增长，同时也表明，目前少量的运用所包含的开源代码要多于专有代码。

某些开源组件对开发人员来说十分重要，以致于这些组件在极大部分的运用中都能找到。往年，用于开发 HTML、CSS 和 JavaScript 的开源工具包 Bootstrap 出如今 40% 的全部被扫描运用中；紧随其后的是 jQuery，有36％的运用包括该开源组件。在各行业常见的组件中，值得留意的是 Lodash，这是一个为编程义务提供适用函数的 JavaScript 库。Lodash 是诸如医疗保健、物联网、互联网、市场营销、电子商务和电信等
行业所采用的运用中最常常运用的开源组件。

审计还发现，每个代码库中开源破绽的数量增长了 134％，而 78％ 的被反省代码库中包含至少一个破绽，每个代码库平均包含 64 个破绽。这一高增长率部分归因于2017年报告的创记载的破绽数量。仅美国国度破绽数据库（NVD，National Vulnerability Database）就列出了超过 14,700 个破绽，而 2016 年仅列出 6,400 个破绽。其他报告给出的破绽总数超过 2 万个，其中近8000 是 NVD 报告未列出的。这些数字阐明了 2017 年所报告的一切已知破绽的状况，但其中超过 4,800 个是开源破绽，这延续了已知开源破绽为期五年的增长趋向。过去 17 年来，曾经有超过 40,000 个开源破绽被报道。

扫描提醒的另一个重要数据点是，所发现的破绽的平均年龄正在添加。平均而言，审计中发现的破绽大约在六年前曾经被披露了，而在 2017 年报告则显示是四年前被披露。这表明，担任修复任务的人员需求破费更长时间才能完成修复（假设他们确实正在着手修复的话），这就使得越来越多的破绽在代码库中积聚起来。

此外，这些开源组件还普遍存在容许证成绩，企业不太能够运用传统的电子表格办法来跟踪这么少量的容许证义务，而假设没有一套自动化流程的话，这能够就是件不能够的任务。这也招致 74% 的被审计代码库中包含存在容许证抵触的组件，其中最常见的是违犯 GPL 容许证协议，存在于 44％ 的代码库中。该报告停止审计的代码库中，85% 或存在容许证抵触，或包含不具有容许证的组件。

其中，互联网和软件基础设备垂直行业的运用包含高风险开源破绽的比例最高，为 67％；其次是互联网和移动运用行业，比例为 60％。具有挖苦意味的是，网络安全行业的依然被发现存在很高比例的高风险开源破绽，虽然低于去年的59％，但依然高达41％，这使得该垂直行业处于第四高的位置。

在金融效劳和金融科技市场中，34％ 的被扫描运用包含高风险破绽，而医疗保健、安康技术和生命迷信垂直行业中的运用紧随其后，有 31％ 的运用包含高风险破绽。制造业、工业和机器人技术在这方面的比例最低，为 9％，这能够是由于 OEM（制造商）对整个软件供应链上的供应商施加压力，要求后者提供经过审查的、洁净的代码。相反，制造业垂直行业在一切垂直行业中占据了第三大容许证抵触的位置，比例高达  91％。

理想上，依据黑鸭按需审计集团（Black Duck On-Demand）提供的审计数据，一切垂直行业的企业都应该关注开源容许证成绩，也应该关注由于未能遵守开源容许证协议而招致的代码知识产权诉讼或侵权（compromise）所带来的潜在风险。存在容许证抵触的运用在各个行业散布状况互不相反：在批发和电子商务行业中低至 61％，而在电信和无线行业则很高 – 他们 100％ 的被扫描代码都存在某种方式的开源容许抵触。

(责任编辑：admin)