搜索

[1194] 2020-05-22_2019年开源软件风险研究报告

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-16
2020-05-22_2019年开源软件风险研究报告 2 0 1 9 年 开 源 软 件 风 险 研 究 报 告 原 创   C N C E R T 软 件 安 全   C N C E R T 风 险 评 估   2 0 2 0 - 0 5 - 2 2 一 一 序 言 序 言 本 报 告 由 C N C E R T 软 件 安 全 和 苏 州 棱 镜 七 彩 科 技 有 限 公 司 联 合 发 布 。 开 源 软 件 已 经 渗 透 到 信 息 技 术 领 域 的 方 方 面 面 ， 无 论 是 C P U 、 D S P 等 芯 片 ， 抑 或 驱 动 、 固 件 等 底 层 软 件 ， 抑 或 操 作 系 统 、 浏 览 器 、 数 据 库 等 系 统 软 件 ， 抑 或 消 息 中 间 件 、 应 用 服 务 器 等 中 间 件 软 件 ， 抑 或 各 种 各 样 的 应 用 软 件 ， 都 有 开 源 软 件 的 应 用 。 我 国 信 息 技 术 领 域 各 个 行 业 也 大 量 使 用 了 开 源 软 件 。 对 于 政 府 、 军 工 、 能 源 、 金 融 等 关 键 行 业 ， 也 从 以 前 的 “ 谈 开 源 软 件 色 变 ” ， 到 现 在 已 经 广 泛 接 受 和 应 用 开 源 软 件 。 开 源 软 件 已 经 成 为 当 前 软 件 供 应 链 中 十 分 重 要 的 组 成 部 分 。 开 源 软 件 为 I T 行 业 带 来 了 极 大 便 利 ， 提 高 了 开 发 效 率 ， 降 低 了 成 本 。 然 而 ， 由 于 开 源 软 件 的 依 赖 和 引 用 关 系 较 为 复 杂 ， 其 安 全 性 也 往 往 缺 少 审 查 和 管 理 ， 因 此 ， 开 源 软 件 也 增 加 了 软 件 供 应 链 的 复 杂 性 和 安 全 风 险 。 2 0 1 9 年 ， G i t h u b 的 报 告 指 出 ， 超 过 3 6 0 万 个 开 源 项 目 依 赖 了 T o p 5 0 的 开 源 项 目 之 一 。 r a i l s / r a i l s 、 f a c e b o o k / j e s t 、 a x i o s / a x i o s 等 知 名 项 目 被 其 他 上 百 万 个 开 源 项 目 使 用 。 同 时 ， 开 源 项 目 平 均 有 1 8 0 个 第 三 方 依 赖 组 件 ， 具 体 的 依 赖 组 件 数 量 从 几 个 到 上 千 个 不 等 。 另 一 方 面 ， N V D 、 C N V D 等 漏 洞 库 中 的 开 源 软 件 漏 洞 数 量 不 断 增 加 ， 还 有 大 量 开 源 软 件 漏 洞 未 被 收 录 到 这 些 漏 洞 库 中 ， 例 如 ， 被 广 泛 使 用 的 f a s t j s o n 组 件 ， 在 2 0 1 9 年 持 续 出 现 的 严 重 漏 洞 中 ， 多 个 漏 洞 尚 未 收 录 到 国 家 漏 洞 库 中 。 恶 意 软 件 包 也 不 断 出 现 在 开 源 社 区 中 ， 如 p i p 包 管 理 平 台 的 r o e l s 、 r e q - t o o l s 和 d a r k - m a g i c 等 恶 意 软 件 包 、 N P M 包 管 理 器 的 m - b a c k d o o r 、 r c e a t 、 p a t h - t o - r e g x e p 等 恶 意 软 件 包 等 。 除 了 信 息 安 全 风 险 ， 开 源 软 件 还 可 能 引 入 知 识 产 权 风 险 。 由 于 开 源 软 件 的 依 赖 关 系 的 复 杂 性 ， 在 使 用 开 源 软 件 时 ， 不 同 开 源 软 件 的 许 可 证 可 能 存 在 合 规 性 和 兼 容 性 风 险 ， 从 而 导 致 知 识 产 权 风 险 。 2 0 1 9 年 1 1 月 6 日 ， 数 字 天 堂 （ 北 京 ） 网 络 技 术 有 限 公 司 诉 柚 子 （ 北 京 ） 科 技 有 限 公 司 、 柚 子 （ 北 京 ） 移 动 技 术 有 限 公 司 侵 犯 计 算 机 软 件 著 作 权 纠 纷 一 案 终 审 判 决 ， 判 令 柚 子 公 司 停 止 侵 权 并 赔 偿 7 1 万 元 。 该 案 被 称 为 中 国 第 一 个 涉 及 G P L 协 议 的 诉 讼 案 件 。 虽 然 该 案 在 开 源 社 区 中 有 不 同 的 讨 论 和 解 读 ， 但 进 一 步 说 明 了 开 源 软 件 的 知 识 产 权 风 险 ， 是 不 可 忽 视 的 重 要 风 险 之 一 。 由 此 可 见 ， 开 源 软 件 复 杂 的 供 应 链 关 系 、 不 断 增 加 的 安 全 漏 洞 与 恶 意 软 件 包 ， 以 及 开 源 许 可 证 的 风 险 ， 已 成 为 不 可 忽 视 、 亟 需 重 视 和 管 控 的 领 域 。 2 0 2 0 年 4 月 2 7 日 ， 国 家 互 联 网 信 息 办 公 室 、 国 家 发 改 委 等 1 2 个 部 门 联 合 发 布 了 《 网 络 安 全 审 查 办 法 》 ， 《 网 络 安 全 审 查 办 法 》 中 第 一 条 明 确 指 出 ： “ 为 了 确 保 关 键 信 息 基 础 设 施 供 应 链 安 全 ， 维 护 国 家 安 全 ， 依 据 《 中 华 人 民 共 和 国 国 家 安 全 法 》 《 中 华 人 民 共 和 国 网 络 安 全 法 》 ， 制 定 本 办 法 ” 。 开 源 软 件 作 为 关 键 信 息 基 础 设 施 供 应 链 中 十 分 重 要 的 组 成 部 分 ， 其 安 全 性 也 需 要 重 点 关 注 。 因 此 ， 为 了 更 详 细 地 进 行 分 析 ， 我 们 从 G i t h u b 、 码 云 社 区 中 选 取 了 一 批 开 源 项 目 进 行 分 析 ， 就 其 依 赖 组 件 、 安 全 漏 洞 、 开 源 许 可 证 等 方 面 进 行 分 析 。 二 二 开 源 软 件 的 安 全 风 险 分 析 开 源 软 件 的 安 全 风 险 分 析 本 报 告 一 共 选 取 了 4 8 3 6 3 个 项 目 进 行 分 析 ， 其 中 G i t H u b 中 选 取 星 数 为 5 0 0 星 及 以 上 的 开 源 项 目 3 8 5 3 0 个 ， G i t e e 中 选 取 星 数 为 5 星 及 以 上 的 开 源 项 目 9 8 3 3 个 。 进 一 步 ， 使 用 开 源 安 全 检 测 工 具 对 4 8 3 6 3 个 开 源 项 目 进 行 依 赖 检 测 ， 检 测 是 否 含 有 来 自 于 M a v e n 、 N u g e t 、 P a c k a g i s t 、 P y P I 、 N P M 、 R u b y G e m s 六 个 包 管 理 平 台 的 依 赖 组 件 。 在 检 测 结 果 中 ， 共 有 3 1 5 5 3 个 开 源 项 目 包 含 上 述 六 个 平 台 的 依 赖 组 件 ， 占 总 数 的 比 例 为 6 5 . 2 4 % 。 在 含 有 依 赖 组 件 的 开 源 项 目 中 ， 来 自 于 G i t h u b 社 区 的 项 目 数 为 2 5 9 5 9 个 ， 占 比 8 2 . 2 7 % ； 来 自 于 G i t e e 社 区 的 项 目 数 为 5 5 9 4 个 ， 占 比 1 7 . 7 3 % 。 本 报 告 通 过 对 3 1 5 5 3 个 含 依 赖 组 件 的 开 源 项 目 （ 下 称 “ 样 本 项 目 ” ） 进 一 步 进 行 分 析 。 样 本 项 目 中 一 共 包 含 7 0 1 7 2 4 个 来 自 M a v e n 、 N u g e t 、 P a c k a g i s t 、 P y P I 、 N P M 、 R u b y G e m s 六 个 平 台 的 依 赖 组 件 ， 其 中 G i t h u b 的 样 本 项 目 包 含 5 3 5 3 2 6 个 依 赖 组 件 ， 占 比 7 6 . 2 9 % ， G i t t e e 的 样 本 项 目 包 含 1 6 6 3 9 8 个 依 赖 组 件 ， 占 比 2 3 . 7 1 % 。 通 过 对 样 本 项 目 的 依 赖 组 件 安 全 性 进 行 分 析 ， 共 获 得 依 赖 组 件 漏 洞 警 告 信 息 8 3 8 3 4 条 。 其 中 ， 总 样 本 项 目 的 2 0 . 7 9 % 存 在 依 赖 组 件 漏 洞 ， 按 开 源 社 区 划 分 ， 1 8 . 0 3 % 的 G i t h u b 样 本 项 目 包 含 依 赖 组 件 漏 洞 ， 3 3 . 6 3 % 的 G i t e e 样 本 项 目 包 含 依 赖 组 件 漏 洞 。 基 于 以 上 数 据 ， 本 报 告 从 样 本 项 目 的 依 赖 组 件 安 全 风 险 、 漏 洞 等 级 分 布 、 开 源 许 可 证 等 维 度 进 行 进 一 步 分 析 。
（ 一 ） 组 件 安 全 风 险 分 析 （ 一 ） 组 件 安 全 风 险 分 析 （ 1 ） 组 件 安 全 风 险 宏 观 分 析 1 . 1 .   样 本 项 目 的 组 件 漏 洞 数 量 ① 持 续 增 长 样 本 项 目 的 组 件 漏 洞 数 量 ① 持 续 增 长                 组 件 漏 洞 数 量 及 其 增 长 态 势 是 宏 观 上 衡 量 开 源 安 全 风 险 的 重 要 指 标 ， 根 据 以 上 数 据 分 析 可 知 ， 开 源 项 目 依 赖 组 件 漏 洞 数 量 逐 年 增 长 ， 近 4 年 中 2 0 1 9 年 增 长 最 快 ， 2 0 1 9 年 组 件 漏 洞 数 量 相 较 年 组 件 漏 洞 数 量 相 较 2 0 1 8 年 环 比 增 长 年 环 比 增 长 7 2 . 9 9 % 。 2 0 1 9 年 ， G i t h u b 样 本 项 目 的 依 赖 组 件 漏 洞 数 量 环 比 增 长 7 1 . 0 5 % ， G i t e e 样 本 项 目 的 依 赖 组 件 漏 洞 数 量 环 比 增 长 7 4 . 1 8 % 。 以 上 表 明 ， 组 件 漏 洞 数 量 一 直 处 于 较 高 增 长 态 势 ， 成 为 开 源 项 目 不 可 忽 视 的 重 要 漏 洞 来 源 之 一 。 （ ① 注 ： 本 报 告 组 件 漏 洞 数 量 是 指 开 源 项 目 中 依 赖 组 件 中 的 漏 洞 数 量 。 年 度 组 件 漏 洞 数 量 指 截 止 当 年 末 为 止 的 历 史 累 计 组 件 漏 洞 总 量 。 漏 洞 知 识 库 以 C V E 漏 洞 为 主 ， 也 含 有 部 分 开 源 社 区 漏 洞 来 源 ， 如 G i t h u b 、 N P M 等 。 ） 1 . 2 .   多 数 组 件 漏 洞 集 中 于 少 数 包 管 理 器 平 台 多 数 组 件 漏 洞 集 中 于 少 数 包 管 理 器 平 台
在 本 次 分 析 的 6 个 主 流 包 管 理 器 M a v e n 、 N u g e t 、 P a c k a g i s t 、 P y P I 、 N P M 、 R u b y G e m s 中 ， M a v e n 组 件 漏 洞 数 量 最 多 组 件 漏 洞 数 量 最 多 ， 占 比 7 3 . 5 4 % ， M a v e n 组 件 漏 洞 数 在 近 4 年 中 每 年 均 远 多 于 其 它 包 管 理 器 ， 并 在 近 两 年 中 大 幅 增 长 ， 2 0 1 9 年 环 比 增 长 达 到 7 6 . 5 3 % 。 N P M 位 居 第 二 位 居 第 二 ， 占 比 1 6 . 1 1 % ， 但 仍 与 M a v e n 差 值 巨 大 。 其 它 包 管 理 器 则 一 直 维 持 在 增 长 较 为 缓 慢 、 漏 洞 数 较 少 的 水 平 。 总 体 而 言 ， 大 多 数 组 件 漏 洞 集 中 在 少 数 包 管 理 器 平 台 。 1 . 3 . 直 接 依 赖 漏 洞 数 量 比 间 接 依 赖 漏 洞 数 量 少 约 直 接 依 赖 漏 洞 数 量 比 间 接 依 赖 漏 洞 数 量 少 约 1 0 % 软 件 工 程 中 所 包 含 的 开 源 组 件 按 依 赖 层 级 分 为 直 接 依 赖 组 件 与 间 接 依 赖 组 件 ， 软 件 工 程 所 依 赖 的 第 一 层 级 的 开 源 组 件 被 称 为 直 接 依 赖 组 软 件 工 程 中 所 包 含 的 开 源 组 件 按 依 赖 层 级 分 为 直 接 依 赖 组 件 与 间 接 依 赖 组 件 ， 软 件 工 程 所 依 赖 的 第 一 层 级 的 开 源 组 件 被 称 为 直 接 依 赖 组 件 ， 第 一 层 级 以 及 更 深 层 级 开 源 组 件 所 依 赖 的 开 源 组 件 被 称 为 间 接 依 赖 组 件 ， 直 接 依 赖 组 件 漏 洞 和 间 接 依 赖 组 件 漏 洞 都 是 不 可 忽 视 的 安 全 风 件 ， 第 一 层 级 以 及 更 深 层 级 开 源 组 件 所 依 赖 的 开 源 组 件 被 称 为 间 接 依 赖 组 件 ， 直 接 依 赖 组 件 漏 洞 和 间 接 依 赖 组 件 漏 洞 都 是 不 可 忽 视 的 安 全 风 险 险 。 依 据 依 赖 组 件 漏 洞 数 量 的 总 体 结 果 分 析 ， 直 接 依 赖 漏 洞 的 数 量 为 3 7 8 6 5 个 ， 占 比 为 4 5 . 1 7 % ， 间 接 依 赖 的 漏 洞 数 量 为 4 5 9 6 9 个 ， 占 比 为 5 4 . 8 3 % 。 直 接 依 赖 组 件 的 漏 洞 数 量 比 间 接 依 赖 组 件 的 漏 洞 数 量 少 约 1 0 % 。 同 时 ， 由 于 间 接 依 赖 关 系 需 要 对 组 件 的 依 赖 关 系 进 行 多 层 次 分 析 ， 间 接 依 赖 组 件 漏 洞 相 比 直 接 依 赖 组 件 漏 洞 更 具 隐 蔽 性 。 （ 2 ） 样 本 项 目 组 件 漏 洞 危 害 性 分 析 2 . 1 .   超 半 数 组 件 漏 洞 超 半 数 组 件 漏 洞 具 有 较 高 危 害 性 具 有 较 高 危 害 性
根 据 安 全 漏 洞 的 危 害 程 度 不 同 ， 由 美 国 国 家 基 础 设 施 咨 询 委 员 会 N I A C （ T h e N a t i o n a l   I n f r a s t r u c t u r e   A d v i s o r y   C o u n c i l ） 发 布 的 通 用 漏 洞 评 估 方 法 C V S S （ C o m m o n V u l e r a b i l i t y   S c o r i n g S y s t e m ） 将 安 全 漏 洞 分 为 超 危 、 高 危 、 中 危 、 低 危 4 个 等 级 的 漏 洞 。 根 据 本 报 告 统 计 结 果 ， 组 件 漏 洞 多 集 中 于 中 组 件 漏 洞 多 集 中 于 中 危 及 以 上 等 级 ， 占 比 危 及 以 上 等 级 ， 占 比 9 4 . 3 8 % ； 其 中 ， 中 危 等 级 的 组 件 漏 洞 数 量 最 多 ， 占 比 3 5 . 2 6 % ， 超 危 与 高 危 组 件 漏 洞 数 量 分 别 为 3 1 . 4 4 % 和 2 7 . 6 7 % ， 低 危 漏 洞 较 少 ， 占 比 5 . 6 2 % 。 超 危 与 高 危 组 件 漏 洞 数 量 之 和 占 比 达 超 危 与 高 危 组 件 漏 洞 数 量 之 和 占 比 达 6 4 . 4 9 % 。 总 体 而 言 ， 中 危 及 以 上 漏 洞 即 已 具 有 一 定 危 害 性 ， 而 其 占 比 达 9 4 . 3 8 % ， 高 危 及 以 上 漏 洞 则 具 有 较 高 危 害 性 ， 而 其 占 比 达 6 4 . 4 9 % ， 显 而 易 见 ， 依 赖 组 件 的 安 全 漏 洞 是 不 可 忽 视 的 重 要 安 全 风 险 之 一 。 2 . 2 . 高 危 及 以 上 组 件 漏 洞 数 高 危 及 以 上 组 件 漏 洞 数 量 不 断 增 长 ， 安 全 风 险 持 续 升 高 量 不 断 增 长 ， 安 全 风 险 持 续 升 高 超 危 、 高 危 组 件 漏 洞 数 量 近 年 来 一 直 保 持 着 较 高 的 增 长 率 ， 2 0 1 7 年 相 较 2 0 1 6 年 环 比 增 长 1 7 2 . 9 1 % ， 2 0 1 8 年 环 比 增 长 1 0 8 . 3 7 % ， 2 0 1 9 年 环 比 增 长 1 0 3 . 9 6 % ， 超 危 、 高 危 组 件 漏 洞 数 量 历 年 均 保 持 着 大 于 超 危 、 高 危 组 件 漏 洞 数 量 历 年 均 保 持 着 大 于 1 0 0 % 的 较 高 的 增 长 率 的 较 高 的 增 长 率 。 G i t h u b 样 本 项 目 和 G i t e e 样 本 项 目 的 超 危 与 高 危 漏 洞 数 量 也 基 本 符 合 这 一 规 律 。 而 在 实 际 开 发 中 ， 组 件 漏 洞 被 发 现 后 ， 大 量 开 源 组 件 的 漏 洞 修 复 周 期 也 较 长 ， 不 能 做 到 对 组 件 漏 洞 的 及 时 响 应 。 据 英 国 安 全 厂 商 S n y k 调 研 ， 3 7 % 的 开 源 开 发 者 在 持 续 集 成 ( C I ) 期 间 没 有 实 施 任 何 类 型 的 安 全 测 试 ， 2 5 % 的 开 发 者 在 发 现 漏 洞 后 未 通 知 用 户 有 漏 洞 ， 从 漏 洞 添 加 至 组 件 到 修 复 漏 洞 的 时 间 中 位 数 也 超 过 2 年 ， 而 超 危 、 高 危 漏 洞 的 危 害 性 较 高 且 占 比 较 高 ， 若 大 量 开 发 者 未 能 做 到 对 漏 洞 的 及 时 响 应 ， 将 对 组 件 使 用 者 带 来 较 高 的 安 全 风 险 。 2 . 3 . 约 约 8 0 % 的 高 危 及 以 上 的 组 件 漏 洞 来 自 的 高 危 及 以 上 的 组 件 漏 洞 来 自 M a v e n 组 件 组 件
各 包 管 理 器 每 年 的 超 危 、 高 危 组 件 漏 洞 数 量 均 在 不 断 变 化 ， 上 表 反 映 了 各 包 管 理 器 每 年 的 超 危 、 高 危 组 件 漏 洞 占 超 危 、 高 危 漏 洞 总 数 量 的 比 例 的 变 化 情 况 。 尽 管 M a v e n 平 台 高 危 及 以 上 的 组 件 漏 洞 在 2 0 1 6 - 2 0 1 8 年 期 间 占 比 略 微 下 降 ， 但 仍 旧 在 每 年 中 均 保 持 最 高 占 比 ， 平 均 每 年 占 比 超 8 0 % ， 并 超 出 位 于 第 二 名 的 N P M 至 少 6 5 % 。 而 除 了 M a v e n 和 N P M 外 的 其 它 包 管 理 器 则 一 直 处 于 占 比 较 低 的 状 态 。 总 体 而 言 ， 历 年 大 部 分 的 高 危 及 以 上 的 组 件 漏 洞 来 历 年 大 部 分 的 高 危 及 以 上 的 组 件 漏 洞 来 自 于 自 于 M a v e n 组 件 ， 也 侧 面 说 明 了 组 件 ， 也 侧 面 说 明 了 M a v e n 组 件 使 用 范 围 较 广 ， 组 件 使 用 范 围 较 广 ， M a v e n 组 件 漏 洞 的 影 响 范 围 也 相 应 较 广 。 组 件 漏 洞 的 影 响 范 围 也 相 应 较 广 。 2 . 4 . 被 引 用 次 数 最 多 的 含 高 危 及 以 上 漏 洞 的 组 件 被 引 用 次 数 最 多 的 含 高 危 及 以 上 漏 洞 的 组 件 T o p 1 0 开 源 组 件 被 引 用 的 次 数 越 多 ， 软 件 开 发 者 直 接 或 间 接 依 赖 到 该 组 件 的 可 能 性 越 大 ， 如 果 该 组 件 包 含 高 危 及 以 上 漏 洞 ， 安 全 风 险 越 高 ， 安 开 源 组 件 被 引 用 的 次 数 越 多 ， 软 件 开 发 者 直 接 或 间 接 依 赖 到 该 组 件 的 可 能 性 越 大 ， 如 果 该 组 件 包 含 高 危 及 以 上 漏 洞 ， 安 全 风 险 越 高 ， 安 全 风 险 影 响 范 围 也 越 广 。 全 风 险 影 响 范 围 也 越 广 。 了 解 各 包 管 理 器 中 被 引 用 最 多 的 高 危 组 件 信 息 ， 对 于 开 源 安 全 风 险 防 范 至 关 重 要 。 本 报 告 从 样 本 项 目 依 赖 组 件 中 按 包 管 理 器 分 别 选 取 了 被 样 本 项 目 引 用 次 数 最 多 的 且 包 含 高 危 及 以 上 漏 洞 的 组 件 T o p 1 0 ， 其 中 ， 图 中 横 坐 标 表 示 该 组 件 被 样 本 项 目 引 用 的 次 数 ： 1 .   M a v e n 2 .   N u g e t
3 .   P a c k a g i s t 4 .   P y P I 5 .   N P M
6 .   R u b y G e m s （ 二 ） 开 源 许 可 证 分 析 （ 二 ） 开 源 许 可 证 分 析 本 报 告 对 样 本 开 源 项 目 与 依 赖 组 件 （ 来 自 于 M a v e n 、 N u g e t 、 P a c k a g i s t 、 P y P I 、 N P M 、 R u b y G e m s 这 6 个 包 管 理 平 台 的 依 赖 组 件 ） 的 许 可 证 使 用 情 况 进 行 了 统 计 ， 无 论 是 开 源 项 目 还 是 依 赖 组 件 ， M I T 和 和 A p a c h e - 2 . 0 许 可 证 占 比 最 多 许 可 证 占 比 最 多 。 依 赖 组 件 许 可 证 中 ， M I T 占 比 5 5 . 5 8 % ， A p a c h e - 2 . 0 占 比 1 4 . 9 4 % ； 开 源 项 目 许 可 证 中 ， M I T 占 比 3 2 . 9 3 % ， A p a c h e - 2 . 0 占 比 1 4 . 8 4 % ； A G P L - 3 . 0 、 L G P L - 2 . 1 、 L G P L - 3 . 0 、 G P L - 2 . 0 、 G P L - 3 . 0 占 比 最 少 ， 5 个 许 可 证 占 比 之 和 不 足 1 0 % 。
依 赖 组 件 中 ， 未 在 社 区 网 页 申 明 许 可 证 的 占 比 仅 为 2 . 8 8 % ， 而 在 开 源 项 目 中 ， 未 在 社 区 网 页 直 接 申 明 许 可 证 的 占 比 为 3 9 . 4 4 % 。 当 然 ， 开 源 项 目 许 可 证 存 在 一 种 情 况 ， 即 未 在 社 区 网 页 直 接 申 明 ， 而 将 许 可 证 声 明 放 到 源 代 码 项 目 中 。 因 此 ， 实 际 未 申 明 许 可 证 的 开 源 项 目 比 例 会 略 低 于 3 9 . 4 4 % ， 但 侧 面 反 映 了 开 源 项 目 中 ， 未 申 明 许 可 证 的 开 源 项 目 数 量 较 多 。 对 于 未 申 明 许 可 证 的 开 源 项 目 或 开 源 依 赖 组 件 的 使 用 ， 可 能 存 在 侵 权 风 险 。 许 可 证 兼 容 是 指 不 同 许 可 证 的 开 源 项 目 ， 能 在 同 时 不 违 反 所 有 开 源 项 目 许 可 证 的 前 提 下 进 行 合 并 或 者 融 合 ， 反 之 则 成 为 许 可 证 不 兼 许 可 证 兼 容 是 指 不 同 许 可 证 的 开 源 项 目 ， 能 在 同 时 不 违 反 所 有 开 源 项 目 许 可 证 的 前 提 下 进 行 合 并 或 者 融 合 ， 反 之 则 成 为 许 可 证 不 兼 容 。 容 。 许 可 证 兼 容 性 风 险 是 使 用 开 源 软 件 时 面 临 的 常 见 风 险 。 开 源 许 可 证 可 以 简 单 划 分 为 宽 松 型 许 可 证 和 著 佐 权 型 许 可 证 。 例 如 M I T 、 A p a c h e - 2 . 0 、 B S D - 2 - C l a u s e 、 B S D - 3 - C l a u s e 属 于 宽 松 型 许 可 证 ， A G P L - 3 . 0 、 L G P L - 2 . 1 、 L G P L - 3 . 0 、 G P L - 2 . 0 、 G P L - 3 . 0 属 于 著 佐 权 型 许 可 证 。 开 源 软 件 或 依 赖 组 件 在 混 合 使 用 时 ， 由 于 不 同 的 开 源 软 件 或 依 赖 组 件 具 有 不 同 的 开 源 许 可 证 ， 因 此 可 能 存 在 许 可 证 兼 容 性 风 险 。     本 次 分 析 中 ， 2 3 7 2 个 样 本 项 目 存 在 许 可 证 兼 容 性 问 题 个 样 本 项 目 存 在 许 可 证 兼 容 性 问 题 ， 占 比 7 . 5 2 % 。 这 些 项 目 中 ， 有 的 使 用 了 许 可 证 不 兼 容 的 依 赖 组 件 ， 有 的 是 依 赖 组 件 许 可 证 与 项 目 自 身 的 许 可 证 不 兼 容 。 例 如 M y c a t - S e r v e r 项 目 ， 其 项 目 许 可 证 为 G P L - 2 . 0 ， 项 目 中 使 用 的 依 赖 组 件 的 许 可 证 有 A p a c h e - 2 . 0 、 G P L - 2 . 0 等 。 但 由 于 A p a c h e - 2 . 0 存 在 某 些 专 利 条 款 和 赔 偿 条 款 ， 而 G P L - 2 . 0 未 做 相 关 要 求 ， 导 致 A p a c h e - 2 . 0 与 G P L - 2 . 0 不 兼 容 。 因 此 ， 当 整 个 项 目 在 G P L - 2 . 0 许 可 证 下 ， 整 个 项 目 就 存 在 兼 容 性 问 题 。 三 三 开 源 安 全 风 险 防 范 建 议 开 源 安 全 风 险 防 范 建 议 《 网 络 安 全 审 查 办 法 》 要 求 加 强 关 键 信 息 基 础 设 施 供 应 链 安 全 ， 开 源 软 件 作 为 关 键 信 息 基 础 设 施 软 件 供 应 链 中 的 重 要 组 成 部 分 ， 其 安 全 性 亟 需 予 以 重 视 。 因 此 ， 开 发 者 应 该 采 取 适 当 的 措 施 进 行 规 避 ， 可 有 效 降 低 其 安 全 风 险 。 为 此 ， 建 议 开 发 者 采 取 以 下 主 要 措 施 ：     1 、 在 引 入 开 源 软 件 时 做 好 安 全 审 查 ， 避 免 在 开 发 时 就 引 入 含 漏 洞 的 开 源 软 件 ， 导 致 安 全 风 险 传 递 到 后 续 流 程 ；     2 、 在 引 入 开 源 软 件 时 做 好 法 律 审 查 ， 避 免 引 入 不 符 合 使 用 需 求 的 开 源 许 可 证 项 目 ；     3 、 获 取 专 业 的 开 源 软 件 安 全 信 息 的 服 务 支 持 ， 以 加 强 开 源 漏 洞 信 息 的 获 取 能 力 ；     4 、 做 好 开 源 软 件 清 单 的 管 理 ， 以 便 在 获 取 开 源 软 件 威 胁 情 报 时 ， 及 时 发 现 受 影 响 的 产 品 和 项 目 ， 快 速 进 行 处 置 ；     5 、 建 立 开 源 软 件 管 理 制 度 ， 加 强 人 员 对 于 开 源 软 件 风 险 意 识 的 培 训 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理