新思科技助力Linux基金会识别全球使用最广泛的开源应用库最新开源普查报告发布
新思科技《2021年开源安全和风险分析》报告(OSSRA)表明商业软件中易受攻击、过期及废弃的开源组件数量呈上升趋势。其中,97%经过审计的金融服务/金融科技行业代码库包含开源,而且超过60%的代码库存在漏洞。可见,开源的应用十分广泛。保护供应链安全,才能构建可信软件。
近日,非营利性组织Linux基金会和哈佛创新科学实验室发布了“自由和开放源码软件普查II - 应用库”。这次普查列出了1,000多个最为广泛使用的开源应用库。新思科技网络安全研究中心(CyRC)将自身基于数千家公司代码库的扫描结果数据匿名化后,贡献给了此次普查报告,有助于更全面地了解 FOSS(自由/开源软件,free and open source software)的使用情况。
Linux基金会普查 II (Linux Foundation Census II)检查了最受欢迎的开源应用库,并且罗列了影响这些应用库安全问题的因素。
报告作者指出:“完全理解 FOSS 的健壮性、经济价值和安全性是一件很难的事情,因为它是以去中心化和分布式的方式产生的。”由于软件组件打包方式以及版本分类和识别方式多种多样,因此该报告将它们归纳汇总成8 种Top 500排名。
新思科技软件质量与安全部门安全解决方案经理Mike McGuire将软件包和版本比作汽车的型号、生产年份和配置。他说:“如果我只说我开一辆丰田凯美瑞汽车,但你仍可能不会知道我开的是哪一款车。1999年版本,还是2022年版本?在订购零部件、获得服务、跟踪召回等时候了解这些信息非常重要。”
Linux基金会普查 II的目的
报告作者表示:“这是为了维持 FOSS 长期安全和健康的活动提供信息。”该报告可以帮助我们预估哪些FOSS软件包被广泛地使用在不同的应用中。它不是评估衡量该软件的风险状况。许多指标可以用来风险提示,但各家企业可能对因素的权重不同。
Mike McGuire对此表示赞同。广泛使用并不代表更关键。他解释道:“大量的应用程序可能正在使用某一特定的 Java GUI 框架,所以这个框架非常流行。但它可能不是软件的关键部分。每个企业应用程序构建的方式不同,其关键组成也大相径庭。”
尽管如此,一旦确定了使用最广泛的软件,我们就更容易评估风险状况。
开源管理的挑战
现在,改善软件识别、分类和维护面临着一些挑战。随着行业朝着广泛标准化和采用软件物料清单(SBOM)的方向发展,了解这些挑战都非常重要,包括:
•对软件组件的标准化命名模式的需求,这样应用程序库就可以被唯一地标识。如果没有标准化命名模式,企业将无法在大规模,特别是在全球范围内,相互交流,以共享此类信息
•与软件包版本控制相关的复杂性。公司维护了一个包的内部版本,但没有将他们的更改反馈回官方库。这是一个意想不到的问题。在一个例子中,研究人员多次观察到一个包的 2.87 版本,但官方库只升级到了 2.26 版本。如果 SBOM 无法区分主版本和变更版本,此类软件的购买者将很难知道自己是否容易受到新发现的漏洞的影响
新思科技中国区软件应用安全技术总监杨国梁表示:“开源软件易获取、开放、共享,为业界带来丰富的红利。但同时,对开源组件漏洞的利用,甚至伪装成开源贡献者预埋漏洞,这些都屡见不鲜。近期,Log4Shell和Spring4Shell漏洞在业界沸沸扬扬,这也体现了掌握已使用开源组件信息的必要性。在漏洞披露时,相关方可以采取更及时的行动。因此,软件组成分析 (SCA) 解决方案的重要性日益凸显。SCA可以为应用生成SBOM,如果组件中出现新漏洞,会及时主动通知用户。”
大多数企业级应用,包括我们常用的购物网站、社交媒体等,服务海量用户,需要持续地稳定运行。为此,开发人员经常使用日志,以监控应用的状态和安全。Log4j2是提供日志功能的开源组件;Spring Core Framework用于Java应用,在基于J2EE的应用中被广泛地使用。由此可见,Log4Shell和Spring4Shell漏洞的影响范围之大。
影响FOSS长期安全的问题
这些问题包括:
•大多数最广泛使用的FOSS都是由少数贡献者开发的。一个数据集的结果显示,排名前 50 的包中,超过 80%的代码行由 136 名开发人员负责。新思科技《2021年开源安全和风险分析》报告(OSSRA)曾指出开源项目的维护人员并没有随开源项目的普及而保持同步增长,从而经常导致开发人员精疲力竭,许多开源项目只能被放弃。如果项目被放弃,漏洞就不会得到及时修复。
•个人开发者帐户安全的重要性正在增加。个人账户通常不像企业账户那样受到很好的保护。在这些个人开发人员帐户的控制下的代码进行更改要容易得多,而且不被发现。此外,如果个别开发人员长时间中断,或出现意外,从而导致无法更新代码,则可能会出现问题。这不是唯一的风险。例如,如果独立的开发人员移动或删除了他们的项目,这可能会破坏数以百万计的依赖它的程序包
•开源领域历史遗留软件的持久性。我们都听说过公司宣布停止对旧版本操作系统或应用程序的支持。但这并不意味着每位用户都停止使用这些旧版本。许多企业发现很难决定切换到不同的软件包,因为在无法保证额外收益的情况下切换到新软件会产生财务和时间等成本。2021年 OSSRA报告还发现85% 的代码库含有至少四年未曾更新的开源依赖,即使有更新版本可用,有时还有很多更新的版本。这会带来很多隐患。新版本会修复旧版本种的错误。黑客往往会寻找使用旧版本的应用进行攻击。
Mike McGuire表示:“Linux基金会普查 II展示了最常用的FOSS以及一些深刻的洞察。虽然它不是指导,但是指出组织和个人都需要积极参与FOSS的开发,而不是留给一小部分开发人员像现在这样领导开源项目。该报告还显示了SCA工具在检测开源历史遗留软件方面的重要性,以及 SBOM 领域对标准化的持续需求。”
新思科技开源专家王永雷补充道:“BOM的概念来自制造业,传统BOM是详细列出产品组成的物资明细。当发现缺陷零件时,制造商可以准确地知道哪个产品受到了影响,以便安排修理或更换。现在,随着开源组件的大规模使用,SBOM需求已经开始呈现出增长态势。新思科技的开源管理工具Black Duck可以创建和管理企业级的上下游软件供应链完整的SBOM,帮助管理在应用和容器中使用开源和第三方代码所带来的安全、质量和许可证合规性风险。”
相关阅读
-
新思科技助力Linux基金会识别全球使用最...
新思科技《2021年开源安全和风险分析》报告(OSSRA)表明商业软件中易... -
是德科技入选《财富》100 家最适宜工作...
2022年4月14日,北京——是德科技公司(NYSE:KEYS)入选2022年《财富... -
中国移动OneOS助力全国大学生物联网竞赛开幕
3月31日,2022年全国大学生物联网设计竞赛正式开赛。该项赛事是教育... -
不解决好这 3 大矛盾,就别搞 DevOps 了
要想把Dev(开发人员)和Ops(运营)绑定在一起,还要求他们和谐相处、彼... -
教育智能硬件市场规模越来越大,你能分...
一直以来,智能硬件都是大家的关注焦点之一。因此针对大家的兴趣点... -
普诺飞思基于与索尼的合作,推出全新基...
该视觉评估套件为业界首创,适用于评估当前唯一的商用级别堆叠式事...
精彩推送
-
新思科技助力Linux基金会识别全球使用最...
新思科技《2021年开源安全和风险分析》报告(OSSRA)表明商业软件中易... -
车长接近6米!Jeep全新“巨无霸”发布 ...
车长接近6米!Jeep全新“巨无霸”发布网友:丑得不忍直视 -
是德科技入选《财富》100 家最适宜工作...
2022年4月14日,北京——是德科技公司(NYSE:KEYS)入选2022年《财富... -
鸿海宣布收购 arQana 无线通讯事业
安科诺科技arQanaTechnologies与鸿海科技集团于今日宣布完成收购arQ... -
研究机构:苹果Mac一季度出货量逆势增长...
据国外媒体报道,市场研究机构IDC的报告显示,在全球PC出货量由去年... -
Lucid再推高性能版本的电动豪华轿车 续...
据国外媒体报道,美国电动汽车制造商Lucid宣布,推出全新版本电动豪... -
德国电信增持T-Mobile美国股份至48.4%
据MobileWorldLive报道,德国电信(DeutscheTelekom)将其在利润丰... -
26.98万起!一图看懂比亚迪汉EV创世版:...
26 98万起!一图看懂比亚迪汉EV创世版:3 9s破百、715km长续航 -
配4.0T大V8 东方“劳斯莱斯库里南”红...
配4 0T大V8东方“劳斯莱斯库里南”红旗LS7内饰曝光:奢华! -
宏光MINI EV“碰撞测试”实战:被货车...
宏光MINIEV“碰撞测试”实战:被货车剐蹭后撞护栏、司机自行下车 -
不解决好这 3 大矛盾,就别搞 DevOps 了
要想把Dev(开发人员)和Ops(运营)绑定在一起,还要求他们和谐相处、彼... -
中国移动OneOS助力全国大学生物联网竞赛开幕
3月31日,2022年全国大学生物联网设计竞赛正式开赛。该项赛事是教育... -
SE社3A大作发售才1个月PC玩家跌至个位数...
由SquareEnix和白金工作室(PlatinumGames)打造的动作RPG协作新游... -
iQOO Neo6配备双电芯80W闪充:3分钟充20%
vivo在线上举行新品发布会,iQOONeo6正式发布。 -
消息称iPhone SE3需求疲软 用户不买账...
之前曾有消息称,苹果要砍单iPhoneSE新款的订单,主要是因为需求疲... -
普诺飞思基于与索尼的合作,推出全新基...
该视觉评估套件为业界首创,适用于评估当前唯一的商用级别堆叠式事... -
英特尔中国研究院“双轮驱动,融合创新...
2022年4月12日,北京——今天,以“智探索·汇无界”为主题的“2022... -
教育智能硬件市场规模越来越大,你能分...
一直以来,智能硬件都是大家的关注焦点之一。因此针对大家的兴趣点... -
英特尔承诺到2040 年实现温室气体净零排放
2022年4月14日,北京——英特尔公司今日宣布计划进一步减少直接和间... -
恒大汽车获2022年iF设计大奖 网友:车...
恒大汽车获2022年iF设计大奖网友:车未动、“牛”先行 -
比特斯拉还狠 奔驰纯电动车1000公里续...
比特斯拉还狠奔驰纯电动车1000公里续航实测成功:毫无压力! -
“移植”比亚迪DM-i 创维HT-i四天后将...
“移植”比亚迪DM-i创维HT-i四天后将亮相:续航1267公里 -
海通国际:苹果AR/MR头显可能将延期发布
近日,海通国际证券分析师Jeff Pu表示,苹果AR MR头显可能会延期... -
联想新款拯救者Y9000X配99Wh大电池:续...
据“机小然”消息,联想即将推出的Y9000X2022款轻薄电竞本搭载了99W... -
微信出手了!处理9万个违规账号
4月13日晚,微信发布《关于治理微信个人帐号"恶意营销行为"的公告》... -
台积电、三星、日月光、AMD等巨头联合推...
Intel、台积电、三星、日月光、AMD、ARM、高通、Google、微软、Meta... -
万元折叠屏手机是否为智商税?网友:技...
随着柔性OLED面板不断成熟、迭代,市场上相继出现了多款折叠屏手机... -
iQOO Neo6秀充电、续航:新材料加持 ...
vivo在线上举行新品发布会,iQOONeo6正式发布,而这款新机亮点颇多... -
超级计算机发展背景是什么?大型超级计算...
一直以来,超级计算机都是大家的关注焦点之一。因此针对大家的兴趣... -
上市公司遭大比例弃购,承销商无奈成为...
有上市公司遭大比例弃购,直接导致承销商无奈成为大股东,这样的威... -
2021年全球半导体制造设备销售额达到102...
SEMI最新发布的《全球半导体设备市场统计报告》显示,2021年全球半... -
安卓上能自由安装软件的功能 iOS拒绝支...
本周二,苹果CEO库克现身IAPP大会,重点谈到了苹果公司对隐私、安全... -
什么是超级计算机?富士通将提供超级计算...
在下述的内容中,小编将会对超级计算机的相关消息予以报道,如果超... -
研发及工厂双双“掉链子” 联想锐龙600...
按照之前的规划,联想4月份会有多款小新、YOGA及拯救者系列的笔记本... -
Win11市场份额不尽如人意 超越Win10至...
到本月初,微软的Win11系统发布就正式半年了,它被微软CEO纳德拉成... -
朋友圈别乱发广告了!微信治理恶意营销...
4月13日晚,微信发布《关于治理微信个人帐号 "恶意营销行为 "的公... -
6个月内收到5封欠薪邮件,柔宇的日子不...
最近,曾经的深圳创业明星公司柔宇陷入至暗时刻。柔宇一员工透露,... -
智能网联汽车技术发展和应用已成为汽车...
近年来,新一代信息技术不断成熟,智能网联汽车技术发展和应用已成... -
医疗机构的医疗服务可望走向远程化、互...
智慧医院涉及信息技术、人工智能、传感器技术等多个学科,其建设不... -
智慧医疗已进入3.0阶段实现深度交互
纵观智慧医疗的发展历程,其始于医疗信息化,伴随智能手机和移动网... -
全系标配混动 北京越野BJ60预告:内饰...
全系标配混动北京越野BJ60预告:内饰豪华直逼奔驰大G -
极星超速抢黄灯撞上劳斯莱斯定损185万:...
极星超速抢黄灯撞上劳斯莱斯定损185万:保险不够、车主需多花30万 -
越来越多的企业纷纷抢跑智能家居领域!
随着智能家居领域的不断发展,智能设备也从智能单品走向全屋智能,... -
国产“雷克萨斯”再添一员 全新东风风...
国产“雷克萨斯”再添一员全新东风风神皓极发布:有混动、13万卖爆! -
奔驰史上最“节能”汽车实测:单次充电...
奔驰史上最“节能”汽车实测:单次充电从德国开到法国! -
3月轿车销量榜:宏光MINIEV仍为“销冠”...
乘联会发布3月份轿车销量榜,上榜车型也发生了不小的变更。具体来看... -
BJ40拖挂房车 底盘大梁被直接拖拽撕裂...
BJ40拖挂房车底盘大梁被直接拖拽撕裂!车主:这质量太不行了 -
6小时狂奔600km!特斯拉FSD自动驾驶视频曝光
日前,海外博主Whole Mars Catalog发布了一段近10分钟的特斯拉FSD... -
博通发布全球首个可商用的Wi-Fi7生态系统
Wi-Fi 7风雨欲来,各家行业巨头都在纷纷抢滩,比如联发科全球首发... -
2.5万吨!福特与澳大利亚锂矿公司签署初...
据国外媒体报道,福特汽车宣布已与澳大利亚锂矿公司Lake Resources... -
外媒:特斯拉双电机全轮驱动续航版Model...
据国外媒体报,今年年初已亮相美国环保署网站,但目前还无法在特斯... -
三星电子与LG显示就电视OLED面板采购事...
据国外媒体报,三星电子和LG显示正在就电视OLED面板采购事宜进行谈... -
受疫情影响,全球PC市场一季度出货量下滑5.1%
据国外媒体报,受疫情导致的居家办公和学习需求增加影响,全球PC市... -
万物互联成为未来社会的发展趋势
科学发展如浪潮般汹涌向前,万物互联成为现如今的一大焦点,以前的... -
外媒:苹果计划在AppleWatch中引入卫星...
4月13日,据外媒报道,苹果计划在未来在Apple Watch中引入连接卫星... -
URG将收购欧洲机器人部门,与微软展开合作
德国联合机器人集团(United Robotics Group,URG)与软银集团(Soft... -
嵌入式为智能万物、互联万物的新发展形...
以计算机、互联网为代表的信息技术是人类文明发展史中的一个伟大发... -
搜狐公司发表公告,表示探索从美国退市...
4月13日晚,搜狐公司发表公告,表示探索从美国退市的选项。 -
订单饱满!比亚迪坐稳中国新能源销冠宝座!
日前,比亚迪披露了投资者关系活动记录表,比亚迪在电话会议中表示... -
续航596公里!现代汽车氢燃料电池车Nexo...
近日消息,现代汽车氢燃料电池SUV车型Nexo中国版正式获得了北京新能... -
奥迪拼了!全新电动SUV车型Q4 e-tron售...
奥迪拼了!全新电动SUV车型Q4e-tron售价疑似曝光:30万起 -
全球首款骁龙7 Gen1手机曝光:直屏+UFS...
博主@数码闲聊站曝光了OPPOReno8系列的部分参数,该机的看点之一就... -
坐稳中国新能源销冠宝座!比亚迪:自从D...
坐稳中国新能源销冠宝座!比亚迪:自从DM-i超级混动上市后在手订单饱满 -
中国联通终端测评报告:联发科天玑9000...
近日,中国联通发布《2021年度终端测评报告》,总结了2021年中国联... -
旗舰再进阶 比亚迪汉家族再推4款新车
4月10日,比亚迪汉家族推出4款全新车型,售价区间为21 58-32 98万元。 -
加氢5分钟能跑596公里 现代首款符合中...
近日消息,现代汽车氢燃料电池SUV车型Nexo中国版正式获得了北京新能... -
苹果发布iMovie 3.0软件更新:引入更多...
苹果刚刚发布了面向iOS和iPadOS平台的iMovie更新,可知3 0版本中主... -
一蔚来ES8地库撞穿墙 蔚来回应:事发时...
一蔚来ES8地库撞穿墙蔚来回应:事发时车辆全电门加速 -
70km续航无压力!九号超级滑板车GT1上架...
70km续航无压力!九号超级滑板车GT1上架:12999元 -
中航光电2022年计划实现营业收入142.3亿...
中航光电于2022年4月7日接受53家机构调研时表示,2021年,面对疫情... -
Smart Modular推出Kestral PCIe傲腾存储扩展卡
全球内存解决方案、固态硬盘和混合存储产品领导者之一的SmartModula... -
微软安全峰会将于5月12日举行
微软安全峰会(MicrosoftSecuritySummit)敲定于2022年5月12日举行... -
工信部发布《2021年物联网示范项目公示...
工信部科技司近日发布根据《2021年物联网示范项目公示》。文中称,... -
又一经典系列谢幕!微软撤掉官网Surface...
SurfaceBook是微软在2015年推出的笔记本电脑系列,其独树一帜的可拆... -
全球首款Android 13手机来了!谷歌Pixel 7入网
4月13日消息,据mysmartprice报道,谷歌Pixel系列新机获得FCC认证,... -
GoPro发布HERO10新款运动相机:5.3K 60...
此前,就有不少用户搞出过在无人机上绑GoPro的操作,针对这一需求,... -
微信灰测腾讯数字人民币钱包小程序:新...
4月初,微信方面表示,微信已支持在试点地区使用数字人民币。个人“... -
曝三星将推出重要举措:维修费用能减少一半
智能手机,尤其是旗舰手机的维修成本很高,以三星GalaxyS22为例,这... -
吉利全新电动SUV官图发布:四款小清新配...
吉利全新电动SUV官图发布:四款小清新配色、女孩子最爱 -
诺基亚将退出俄罗斯市场 去年占比净销...
据外媒报道,诺基亚透露它将退出俄罗斯市场,该公司已经暂停了产品... -
传言成真:软银向URG出售欧洲机器人业务
德国联合机器人集团(UnitedRoboticsGroup,URG)与软银集团(SoftB... -
中国移动G.654E光纤光缆集采:长飞、亨...
中国移动日前发布2022年至2023年G 654E光纤光缆产品集中采购中标候... -
比亚迪海豚3月狂卖10501辆 飞度也不是对手
日前,比亚迪官方发布信息显示,比亚迪“海豚”3月热销10501辆,蝉... -
救命神器!Apple Watch将具有通过卫星...
4月13日,据外媒报道,苹果计划在未来在AppleWatch中引入连接卫星功... -
广汽确定放弃!讴歌这日系豪华品牌:在...
广汽确定放弃!讴歌这日系豪华品牌:在中国早该凉了 -
特斯拉双电机全轮驱动标准续航版Model ...
据国外媒体报,今年年初已亮相美国环保署网站,但目前还无法在特斯... -
索尼和Kirkbi向Epic Games投资20亿美元资金
据国外媒体报道,EpicGames周一表示,已从索尼集团和乐高母公司KIRK... -
外媒:三星电子与LG显示TV OLED面板采...
据国外媒体报,三星电子和LG显示正在就电视OLED面板采购事宜进行谈... -
福特汽车与澳大利亚锂矿商Lake Resourc...
据国外媒体报道,福特汽车宣布已与澳大利亚锂矿公司LakeResourcesNL... -
大数据中心和 5G:对抗还是双赢?
尽管谈论5G与大数据中心,5G网络和大数据中心绝对是天作之合。 5G... -
不限量升级!荣耀Magic3系列Magic UI ...
日前,@荣耀俱乐部官微宣布,荣耀Magic3系列MagicUI6 0正式版本,... -
免费下载!Windows 11新更新杀到:微软...
今天微软推出了Windows11更新,这是针对所有用户的强制更新,因为是... -
奔驰、保时捷侧目!高合HiPhi X斩获3月...
@高合汽车官微宣布,2022年3月,成交均价近70万元的豪华纯电汽车高... -
极速1.15万兆!博通发布Wi-Fi 7路由处...
Wi-Fi7风雨欲来,各家行业巨头都在纷纷抢滩,比如联发科全球首发成... -
在过去的2021年,已经进入存量市场的中...
在过去的2021年,已经进入存量市场的中国彩电行业颇为艰难。奥维云... -
最美折叠屏!OPPO Find N获2022年iF国际设计奖
4月13日消息,OPPO宣布OPPOFindN凭借独特的设计获得2022年iF国际设... -
自动驾驶真来了!特斯拉FSD全程零接管 ...
不管敢不敢相信,自动驾驶距离我们是越来越近,此前马斯克“吹过的... -
如何在照片处理流程中使用线性 DNG 文件?
主流的照片编辑软件可为用户提供创作自由和灵活性,但这并不一定意... -
帕萨特瑟瑟发抖 全新一代福特蒙迪欧上...
帕萨特瑟瑟发抖全新一代福特蒙迪欧上市:顶配车型再降3000! -
名下有几张电话卡一目了然!工信部一证...
去年9月,工业和信息化部组织正式开通了全国移动电话卡“一证通查”...