在一些场景中，开源照旧被以为是保障安全的有效方式。开源“圣经”《大教堂与集市》中也提到开源可以保障安全的缘由：开源社区最弱小的一个强项是非中心化的同行评审，一切努力于细节不被疏漏的传统办法，都无法和它相比。
近期，特朗普称一些本国电力设备能够会应用美国大功率电力系统的破绽停止攻击，因此他签署了一项电力设备禁令。对此，美国的一项开放源代码电力系统方案公司 LF Energy 的 CEO 表示，电力设备风险并不完全是硬件的成绩，应该愈加关注的是攻击面和风险点的所在，比如嵌入系统的固件成绩。
因此，应该开源设备中的硬件和软件，甚至直接对整个技术栈停止开源：“在未来，无论是民族国度还是大型动力公司，恶意攻击者都可以拜访和攻击 OEM 的黑盒，而想要检验电网独一的办法就是运用开源，在一个开放的社区中，具有开放的管理和完全的透明度。”
美国军方国防初级研讨方案局年终推出“开放可编程安全5G”(OPS-5G)新方案。方案承诺创立支持安全5G以及后续移动网络(比如6G)的开源软件和系统。缘由在于，开源软件在安全方面的一大优势就是提高了代码可见性，这意味着可以反省、剖析和审核代码，这项任务可以手动停止，也可借助自动化任务停止。此外，开源的可移植性有助于硬件生态系统和软件生态系统相脱离，大大提高了供应链攻击的难度。
有观念以为，开源软件更方便运用者反省有无后门，这对一些国度级的大型项目来说，可保证高度可控。此外，软件可信性仅和分发途径有关，软件本身的质量与软件厂商关系更大，而开源开发在很多情形下，由于有“同行评审”，所以愈加安全。
多份报告建议公司注重管理开源软件
开源软件安全成绩多被以为是源于管理上的疏漏。多项研讨在讨论开源软件安全成绩的时分，都重复提到这一点。
“随着开源软件越来越受欢迎，辨认和减轻已知的破绽，是开放源码管理的一个关键要素”，Synopsys 在报告中表示。此外，Gartner 剖析师 Dale Gardner 在剖析软件组成现状时说，“成熟的组织正在扩展开放源码管理，以包括依据给定软件包的来源和支持，对软件全体‘安康’的评价。”
在 Synopsys 发布《2020年开源安全和风险剖析报告》和奇安信代码安全事业部发起“开源项目检测方案”，Linux 基金会结合哈佛大学2月发布的《开源软件供应链安全报告》，以及《提高开源软件信任与安全报告》中，均总结了一些开源软件出现安全成绩的缘由。撇去一些存在于一切软件中的通病，如开发人员的技术才能和安全知识成绩等，大致可以归为以下几点：
开源软件运用者更新不及时。许多组织在运用任何给定的开源组建的最新版本放下面落后得惊人。开源社区对软件的更新更快，但是少量运用开源组件的公司没有运用他们需求的补丁，使得业务面临被攻击风险。
开源项目缺乏管理工具。大少数开源项目的开发缺少 SDL(安全开发作命周期)的流程和工具;许多开源项目关注少，资源有限;开源软件之间的关联依赖，招致开源软件的破绽管理十分复杂;假设破绽污染的是基本对象的原型，能够会影响运用顺序中一切对象的行为。
攻击者对开源生态的攻击，比如向开源库中注入恶意代码、向包管理器仓库投放恶意组件等。如2019年8月，开源的系统管理工具 Webmin 被爆存在高风险远程命令执行破绽，据 Webmin开发人员泄漏，该破绽不是编码错误的结果，而是“恶意代码注入受损的基础架构中”招致的。
开源项目分发不合规。如公共注册中心或开源软件市场没有对进入的开源项目停止代码审核，招致安全成绩增多。
许多成绩都指向公司对开源软件缺乏正确的管理。而这些报告也异样给出了一些防患开源软件破绽的措施。
清点本人的开源项目，做资产梳理。Synopsys 的报告中建议运用软件物料清单 BOM，为开源组件提供充沛的可见性。也有建议公司可引入控制，树立开源软件安全引入和参加机制。
有效辨认破绽并正告。Synopsys 公司以为，只要小部分开源破绽会被应用，在开源组建的生命周期内，需求设置破绽修补优先级。异样，奇安信代码安全事业部总经理黄永刚建议，企业应及时发现存在破绽的开源软件版本并停止晋级。在软件运转阶段，企业需监控开源软件破绽情报信息，及时照应。
组建专业团队。包括成立安全小组，监测外部要挟和软弱性披露的变化;组织开发和法律团队;创立管理开源活动的策略等等。
开源开发往往被以为是“常发布”(Release often)以及“更少破绽”的，但近期的几份报告将目光放到更普遍的开源运用中去，得出相反的结论——运用者往往不能及时更新软件，这能够形成安全风险。
关于开源比闭源安全还是更风险，不断以来都会惹起剧烈的讨论，你觉得开源能让软件中的破绽失掉更快修补，更好地保障软件安全吗?
【编辑引荐】
架构师终究比初级开发凶猛在哪？
十个冷艳到你的高质量GitHub开源项目，你看过吗
全部中文版！这能够是拥有最多收费编程书籍的开源项目
微信上其实还有很多你不知道的事，Python微信平台开发编写实录
教科书级错误：每个开发人员都犯过的典型错误
(责任编辑：admin)