搜索

[23171] 2014-10-10_恰当地管理开源，让软件更加安全

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-18
2014-10-10_恰当地管理开源，让软件更加安全 恰 当 地 管 理 开 源 ， 让 软 件 更 加 安 全 L i n u x 中 国   2 0 1 4 - 1 0 - 1 0 越 来 越 多 的 公 司 意 识 到 ， 要 想 比 对 手 率 先 开 发 出 高 质 量 具 有 创 造 性 的 软 件 ， 关 键 在 于 积 极 使 用 开 源 项 目 。 软 件 版 本 更 迭 要 求 市 场 推 广 速 度 足 够 快 ， 成 本 足 够 低 ， 而 仅 仅 使 用 商 业 源 代 码 已 经 无 法 满 足 这 些 需 求 了 。 如 果 不 能 选 择 最 合 适 的 开 源 软 件 集 成 到 自 己 的 项 目 里 ， 一 些 令 人 称 道 的 点 子 怕 是 永 无 出 头 之 日 了 。 然 而 ， 使 用 开 源 软 件 也 要 面 对 新 的 挑 战 。 一 方 面 ， 你 的 团 队 从 开 源 软 件 中 汲 取 力 量 变 得 更 快 更 灵 活 ， 另 一 方 面 ， 开 源 代 码 在 传 播 过 程 中 是 否 经 历 了 不 可 控 修 改 、 安 全 性 该 如 何 保 障 的 问 题 也 日 益 凸 显 了 出 来 。 O p e n S S L   H e a r t b l e e d   漏 洞 已 经 证 实 。 如 果 你 不 了 解 你 的 应 用 程 序 或 者 已 发 布 的 产 品 中 到 底 运 行 着 什 么 代 码 ， 那 你 就 可 能 面 临 需 要 大 量 时 间 才 能 解 决 的 潜 在 安 全 威 胁 。 相 反 ， 如 果 对 项 目 里 什 么 地 方 使 用 了 什 么 版 本 的 开 源 组 件 都 了 如 指 掌 ， 一 旦 遇 到 漏 洞 ， 响 应 速 度 和 解 决 速 度 都 会 是 千 金 不 换 的 。 安 全 性 藏 在 代 码 内 部 H e a r t b l e e d   b u g   让 开 发 人 员 和 企 业 知 道 了 软 件 安 全 性 有 多 重 要 。 专 利 软 件 和 开 源 软 件 哪 个 更 安 全 ？ 这 场 广 泛 受 到 关 注 的 讨 论 并 没 有 一 个 简 单 的 结 论 。 现 实 情 况 是 ， 不 论 是 专 利 软 件 还 是 开 源 软 件 ， 它 们 绝 大 部 分 都 有 缺 陷 ， 其 中 一 些 缺 陷 还 威 胁 到 软 件 的 安 全 性 。 如 果 开 源 软 件 被 内 部 代 码 、 专 利 代 码 引 用 了 ， 那 开 发 人 员 将 不 得 不 面 对 更 复 杂 的 安 全 性 挑 战 。 要 是 管 理 授 权 许 可 的 手 段 再 不 恰 当 ， 那 想 追 溯 一 段 代 码 的 来 源 和 引 用 就 得 把 相 关 人 员 全 都 牵 连 进 来 ， 难 度 必 然 急 剧 增 加 。 要 想 切 实 了 解 你 软 件 的 潜 在 漏 洞 ， 首 先 你 得 理 解 以 下 三 件 事 儿 ： 1 .   你 的 产 品 和 应 用 程 序 里 现 在 跑 着 什 么 代 码 ？ 2 .   那 些 开 发 前 期 使 用 的 代 码 ， 开 发 人 员 是 从 哪 儿 弄 来 的 ？ 3 .   开 发 后 期 使 用 了 哪 些 组 件 ， 这 些 组 件 有 哪 些 地 方 要 在 部 署 之 前 充 分 测 试 ？ 现 状 怎 么 样 所 有 企 业 都 应 该 对 比 常 见 漏 洞 数 据 库 — — 比 如 美 国 国 家 标 准 与 技 术 学 会 的 国 家 漏 洞 数 据 库 （ N V D ） — — 来 检 查 他 们 的 代 码 。 N V D   等 组 织 追
踪 并 收 集 了 各 种 安 全 漏 洞 的 信 息 以 及 排 名 ， 这 些 数 据 可 以 协 助 企 业 确 保 代 码 及 时 更 新 ， 规 避 安 全 风 险 。 如 果 你 从 没 对 照 漏 洞 数 据 库 检 查 过 你 的 代 码 ， 那 你 可 有 的 忙 了 。 好 在 我 们 有 个 可 以 利 用 这 些 数 据 库 定 期 自 动 识 别 开 源 安 全 漏 洞 的 工 具 ， 这 个 工 具 还 可 以 警 示 和 追 踪 项 目 中 使 用 的 受 影 响 的 开 源 组 件 并 提 供 必 要 的 解 决 方 案 。 持 续 监 控 你 的 代 码 库 能 保 证 及 时 发 现 未 知 代 码 、 了 解 代 码 来 源 、 授 权 信 息 不 会 过 时 、 安 全 漏 洞 一 旦 出 现 就 能 第 一 时 间 掌 握 并 寻 求 解 决 方 案 。 如 果 你 的 公 司 有 详 细 的 代 码 清 单 ， 你 就 能 轻 而 易 举 地 找 到 漏 洞 所 在 并 及 时 修 复 ， 确 保 你 的 业 务 和 客 户 不 会 面 临 危 险 。 预 防 未 来 的 问 题 相 当 多 开 发 人 员 青 睐 开 源 软 件 是 因 为 开 源 软 件 易 于 获 得 且 免 费 ， 他 们 不 用 为 此 再 走 采 购 流 程 。 目 前 来 看 ， 尽 管 很 多 开 源 组 织 都 有 自 己 的 使 用 策 略 或 使 用 指 引 ， 他 们 却 并 没 有 强 制 使 用 者 遵 守 ， 也 没 有 追 查 使 用 者 是 否 遵 守 。 知 道 你 的 组 织 将 会 使 用 哪 些 开 源 代 码 、 这 些 代 码 是 否 有 授 权 、 你 的 组 织 中 什 么 地 方 引 用 了 它 们 是 非 常 重 要 的 。 你 知 道 你 用 了 什 么 代 码 之 后 ， 就 该 好 好 整 理 它 们 了 。 你 可 以 实 现 一 个 贯 穿 整 个 开 发 流 程 的 管 理 框 架 ， 这 样 你 可 以 掌 握 每 段 代 码 的 详 细 信 息 ， 不 用 再 在 诸 如 代 码 更 新 了 没 有 、 什 么 时 候 更 新 的 以 及 在 哪 儿 更 新 的 这 类 问 题 上 浪 费 时 间 。 手 工 管 理 这 些 信 息 不 大 可 能 ， 所 以 一 流 公 司 都 使 用 自 动 化 代 码 管 理 和 审 查 工 具 。 虽 然 每 个 公 司 、 每 个 开 发 团 队 都 面 临 各 不 相 同 的 问 题 ， 但 实 践 证 明 下 面 几 条 安 全 管 理 经 验 对 使 用 开 源 软 件 的 任 何 规 模 的 组 织 都 有 意 义 ： 自 动 批 准 和 分 类 自 动 批 准 和 分 类   -   捕 捉 并 追 踪 开 源 组 件 的 相 关 属 性 ， 评 估 许 可 证 合 规 性 ， 通 过 自 动 化 扫 描 、 批 准 和 使 用 过 程 来 审 查 可 能 出 现 的 安 全 漏 洞 。 维 护 最 新 代 码 的 版 本 维 护 最 新 代 码 的 版 本   -   评 估 代 码 质 量 ， 确 保 你 的 产 品 使 用 的 是 最 新 版 本 的 代 码 。 评 估 代 码 评 估 代 码   -   评 估 所 有 在 使 用 的 开 源 代 码 ； 审 查 代 码 安 全 性 、 授 权 许 可 、 列 出 风 险 并 予 以 解 决 。 确 保 代 码 合 法 确 保 代 码 合 法   -   创 建 并 实 现 开 源 政 策 ， 建 立 自 动 化 合 规 检 查 流 程 确 保 开 源 政 策 、 法 规 、 法 律 责 任 等 符 合 开 源 组 织 的 要 求 。 关 键 是 ， 要 让 管 理 流 程 运 作 起 来 随 着 软 件 飞 速 渗 入 各 行 各 业 ， 开 放 源 代 码 将 在 创 新 发 展 的 道 路 上 扮 演 越 来 越 重 要 的 角 色 。 为 了 规 避 安 全 问 题 给 日 益 复 杂 的 环 境 带 来 的 风 险 ， 企 业 必 须 运 行 起 一 套 管 理 其 组 织 中 开 源 代 码 使 用 情 况 的 流 程 ， 构 筑 一 个 定 期 对 照 漏 洞 数 据 库 检 查 代 码 并 快 速 消 除 风 险 的 流 程 。 * 作 者   B i l l   L e d i n g h a m   是   B l a c k   D u c k   S o f t w a r e   公 司 的 首 席 技 术 官 （ C T O ） 兼 工 程 执 行 副 总 裁 。 在 这 之 前 ， B i l l   是   V e r d a s y s   的 首 席 技 术 官 ， 领 导 信 息 和 网 络 安 全 团 队 为 全 球 顶 尖 的   2 0 0 0   家 公 司 和 政 府 机 构 提 供 敏 感 信 息 的 安 全 保 障 。   B i l l   曾 经 与 人 合 伙 创 办 过 四 家 公 司 ， 现 在 活 跃 于 波 士 顿 创 业 社 区 ， 作 为   C o m m o n A n g e l s   的 合 作 伙 伴 和 投 资 人 迄 今 已 有   6   年 历 史 。 v i a :   h t t p : / / w w w . l i n u x . c o m / n e w s / s o f t w a r e / a p p l i c a t i o n s / 7 8 2 9 5 3 - h o w - t o - a c h i e v e - b e t t e r - s e c u r i t y - b y - p r o p e r - m a n a g e m e n t - o f - o p e n - s o u r c e
作 者 ： B i l l   L e d i n g h a m   译 者 ： s a i l i n g   校 对 ： w x y 本 文 由   L C T T   原 创 翻 译 ， L i n u x 中 国   荣 誉 推 出 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理