搜索

[15082] 2020-03-02_免费开源软件的潜在安全风险

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-18
2020-03-02_免费开源软件的潜在安全风险 免 费 开 源 软 件 的 潜 在 安 全 风 险 S a n d r a 1 4 3 2   F r e e B u f   2 0 2 0 - 0 3 - 0 2 L i n u x 基 金 会 和 哈 佛 大 学 创 新 科 学 实 验 室 的 研 究 人 员 进 行 了 广 泛 调 查 和 深 入 研 究 ， 得 出 了 有 关 企 业 内 常 用 的 免 费 基 金 会 和 哈 佛 大 学 创 新 科 学 实 验 室 的 研 究 人 员 进 行 了 广 泛 调 查 和 深 入 研 究 ， 得 出 了 有 关 企 业 内 常 用 的 免 费 开 源 软 件 （ 开 源 软 件 （ F O S S ） 的 一 些 重 要 结 论 与 潜 在 安 全 风 险 。 ） 的 一 些 重 要 结 论 与 潜 在 安 全 风 险 。 研 究 人 员 发 现 ， 由 于 缺 少 针 对 F O S S 组 件 的 标 准 化 命 名 方 案 ， 企 业 和 其 他 股 东 难 以 快 速 、 准 确 地 识 别 可 疑 或 易 受 攻 击 的 组 件 。 其 次 ， 他 们 还 发 现 ， 需 要 更 加 安 全 地 保 护 开 发 人 员 的 账 号 ， 那 些 积 极 为 某 些 广 泛 部 署 开 源 软 件 做 贡 献 的 人 员 。 第 三 个 发 现 是 ， 与 其 他 较 旧 的 硬 件 或 软 件 技 术 一 样 ， 开 源 社 区 中 的 旧 版 软 件 包 日 益 危 险 。 《 哈 佛 商 学 院 》 的 合 著 者 F r a n k   N a g l e 教 授 说 ： “   F O S S 组 件 几 乎 是 所 有 其 他 软 件 的 基 础 ， 无 论 是 开 放 的 还 是 专 有 的 ， 但 我 们 对 软 件 的 常 用 性 或 安 全 性 信 息 知 之 甚 少 。 考 虑 到 了 免 费 开 源 软 件 可 能 对 经 济 产 生 的 影 响 ， 但 却 很 少 人 考 虑 到 支 持 和 维 护 这 一 核 心 基 础 架 构 的 系 统 性 工 作 。 ”
在 这 项 研 究 中 ， L i n u x 基 金 会 和 哈 佛 大 学 的 研 究 人 员 分 析 了 企 业 软 件 的 使 用 数 据 ， 这 些 数 据 由 软 件 合 成 分 析 公 司 和 应 用 安 全 公 司 提 供 ， 例 如 S n y k 和 S y n o p s y s 网 络 安 全 研 究 中 心 。 在 确 定 常 用 的 开 源 软 件 时 ， 研 究 人 员 考 虑 了 F O S S 软 件 包 或 组 件 与 其 他 企 业 应 用 程 序 和 系 统 之 间 可 能 存 在 的 从 属 关 系 。 目 的 在 于 确 定 和 衡 量 企 业 环 境 中 常 用 的 F O S S ， 了 解 该 软 件 的 安 全 性 等 。 F O S S 组 件 几 乎 占 企 业 当 前 正 在 使 用 的 所 有 应 用 程 序 的 8 0 ％ 至 9 0 ％ 。 尽 管 许 多 F O S S 项 目 有 接 受 安 全 检 查 ， 但 是 很 多 还 没 有 。 研 究 人 员 在 本 周 发 布 的 一 份 报 告 中 说 ， 在 诸 如 O p e n S S L 之 类 的 有 小 部 分 贡 献 者 基 础 的 常 用 项 目 中 ， 漏 洞 通 常 会 被 忽 略 。 随 着 对 F O S S 的 依 赖 日 益 增 长 ， 政 府 、 研 究 人 员 和 组 织 通 过 审 核 、 漏 洞 赏 金 计 划 、 黑 客 马 拉 松 和 会 议 更 好 地 了 解 开 源 软 件 的 来 源 和 安 全 。 N a g l e 说 ： “ 第 一 步 是 要 真 正 了 解 企 业 所 依 赖 的 F O S S 组 件 。 无 论 是 通 过 定 期 的 安 全 扫 描 和 代 码 审 计 ， 还 是 通 过 其 数 字 产 品 采 用 的 软 件 材 料 清 单 。 ” 顶 级 项 目 和 顶 级 风 险 顶 级 项 目 和 顶 级 风 险 L i n u x 基 金 会 与 哈 佛 大 学 创 新 科 学 实 验 室 的 联 合 研 究 表 明 ， 企 业 内 1 0 个 最 常 用 的 F O S S 软 件 包 是 a s y n c ， i n h e r i t s ， i s a r r a y ， k i n d o f ， l o d a s h ， m i n i m i s t ， n a t i v e ， q s ， r e a d a b l e - s t r e a m 和 s t r i n g - d e c o d e r 。 研 究 人 员 还 确 定 了 最 常 用 的 非 J a v a S c r i p t 程 序 包 ， 其 中 包 括 c o m . f a s t e r x m l . j a c k s o n . c o r e ： j a c k s o n - c o r e ， c o m . f a s t e r x m l . j a c k s o n . c o r e ： J a c k s o n - d a t a b i n d ， c o m . g o o g l e . g u a v a ： g u a v a 和 c o m m o n s   - c o d e c 。
在 确 定 了 最 重 要 的 项 目 之 后 ， 研 究 人 员 着 手 寻 找 这 些 项 目 中 最 活 跃 的 贡 献 者 ， 并 确 定 了 其 中 约 7 5 ％ 的 公 司 从 属 关 系 。 在 研 究 过 程 中 ， 研 究 人 员 发 现 ， 最 常 用 的 七 个 开 源 软 件 项 目 中 的 七 个 托 管 在 开 发 人 员 个 体 账 号 上 ， 其 安 全 性 比 企 业 账 号 更 弱 。 报 告 警 告 说 ： “ 个 体 账 号 的 开 发 人 员 控 制 和 更 改 代 码 非 常 容 易 实 现 ， 无 需 检 测 即 可 进 行 。 ” 此 外 ， 根 据 研 究 人 员 的 说 法 ， 对 开 发 人 员 个 体 账 号 的 攻 击 正 在 增 加 ， 利 用 账 号 接 管 、 后 门 和 其 他 恶 意 代 码 等 实 现 代 码 访 问 的 风 险 越 来 越 大 。 N a g l e 说 ： “ 如 果 这 类 个 人 账 号 的 存 储 库 支 持 的 话 ， 可 以 执 行 两 因 素 身 份 验 证 。 ” 个 人 账 号 控 制 的 常 用 F O S S 的 另 一 个 风 险 是 开 发 人 员 ， 他 们 有 删 除 账 号 或 删 除 有 争 议 和 分 歧 代 码 的 决 定 权 。 N a g l e 指 出 ： “ 更 广 泛 和 长 期 的 解 决 方 案 是 ， 将 此 类 项 目 转 移 到 企 业 账 号 ， 而 不 是 由 个 人 账 号 控 制 ， 这 有 助 于 增 强 项 目 的 归 责 性 和 将 来 的 可 用 性 。 ” 研 究 表 明 ，   F O S S 组 件 需 要 有 更 好 的 命 名 规 则 。 N a g l e 表 示 ， 由 于 F O S S 可 以 自 由 修 改 和 复 制 ， 因 此 可 以 有 多 个 版 本 ， 分 支 和 类 似 名 称 的 存 储 库 。 为 了 进 一 步 确 保 安 全 ， 重 要 的 是 对 正 在 使 用 的 F O S S 组 件 情 况 以 及 支 持 和 维 护 工 作 有 个 共 识 。 研 究 人 员 的 另 一 个 发 现 是 ， 与 旧 版 不 受 支 持 的 软 件 或 硬 件 版 本 一 样 的 是 ， 旧 版 开 源 组 件 也 面 临 风 险 。 例 如 ， N a g l e 指 出 了 常 用 的 P u T T Y   S S H 软 件 的 0 . 7 0 版 ， 该 软 件 于 2 0 1 7 年 7 月 发 布 。 将 近 两 年 后 ， 直 到 2 0 1 9 年 3 月 该 软 件 的 更 新 0 . 7 1 版 才 发 布 。 像 这 样 常 用 软 件 的 更 新 和 检 查 就 可 以 解 决 存 在 于 代 码 库 2 0 多 年 的 安 全 问 题 了 。 ” * 参 考 来 源 ： 参 考 来 源 ： d a r k r e a d i n g ， ， S a n d r a 1 4 3 2 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐

阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理