Μέχρι και το 60% όλου του κώδικα που χρησιμοποιείται στις επιχειρήσεις περιέχει τουλάχιστον μία ευπάθεια που προέρχεται από πηγές ανοικτού κώδικα, σύμφωνα με νέα έρευνα.
Την Τρίτη, το Black Duck από την Synopsys δημοσίευσε την ετήσια έκθεσή του για την ασφάλεια ανοιχτού κώδικα και την ανάλυση κινδύνου (OSSRA), στην οποία ανέλυσε τα ανώνυμα δεδομένα 1.200 πηγών κώδικα για εμπορική χρήση από το 2018.
Το λογισμικό ανοιχτού κώδικα, οι βιβλιοθήκες και άλλα επιπρόσθετα τμήματα κώδικα έχουν μεγάλη σημασία για τις επιχειρήσεις σήμερα.
Με την υποστήριξη της κοινότητας ανοικτού πηγαίου κώδικα, πολλοί ταλαντούχοι προγραμματιστές επιθυμούν να συμβάλουν σε projects, να προγραμματίσουν μοιράζοντας τον κώδικα τους και να επιτύχουν ταχύτερους χρόνους ανάπτυξης των συστημάτων. Όλα τα παραπάνω συμβάλλουν στην επίτευξη υψηλών ποσοστών υιοθέτησης ανοιχτού κώδικα.
Από όλες τις πηγές κώδικα που εξετάστηκαν από το Black Duck, το 96% περιείχε κώδικα open source και οι περισσότερες πηγές κώδικα χωρίς την συμβολή του open source περιείχαν λιγότερα από 1.000 αρχεία. Εάν ο αριθμός αναθεωρηθεί σε πηγές με περισσότερα από 1.000 αρχεία, το ποσοστό υιοθέτησης ανοιχτού κώδικα αυξήθηκε στο 99%.
Κατά μέσο όρο, το Black Duck εντόπισε 298 σημεία ανοικτού κώδικα ανά πηγή το 2018, σε σύγκριση με 257 το προηγούμενο έτος.
Ενώ το όφελος του open source σε ένα έργο μπορεί να σημαίνει ότι ο ανοιχτός κώδικας έχει πλεονεκτήματα ασφάλειας, μερικές φορές, οι ευπάθειες μπορούν να διαμοιραστούν μέσω του δικτύου ή να παραμείνουν αδρανείς, καθώς οι προγραμματιστές μπορεί να μην αντιληφθούν ότι επηρεάζονται από ένα ελάττωμα ασφαλείας.
Από τις πηγές κώδικα που εξετάστηκαν, το 60% περιείχε τουλάχιστον μία ευπάθεια. Φαίνεται, ωστόσο, ότι η κατάσταση βελτιώνεται, καθώς πρόκειται για μειωμένο ποσοστό από το 78% το 2017.
Συνολικά, το Black Duck αναφέρει ότι πάνω από το 40% περιείχε τρωτά σημεία που κρίθηκαν κρίσιμα.
“Η πραγματικότητα είναι ότι το open-source δεν είναι λιγότερο ασφαλές από τον ιδιόκτητο κώδικα”, αναφέρει η έκθεση. “Όμως, ούτε είναι πιο ασφαλές. Όλα τα λογισμικά, είτε είναι ιδιόκτητα, είτε ανοιχτά, έχουν αδυναμίες που μπορεί να γίνουν ευπάθειες, τις οποίες οι εταιρείες πρέπει να εντοπίσουν και να διορθώσουν”.
Ο μέσος όρος ανίχνευσης των τρωτών σημείων ήταν τα 6,6 έτη. Το παλαιότερο, CVE-2000-0388, είναι ένα ελάττωμα buffer overflow στη βιβλιοθήκη libmytinfo του FreeBSD που αποκαλύφθηκε πριν από 28 χρόνια. Συνολικά, το 43% των σαρωμένων πηγών κώδικα περιείχε ένα σφάλμα με ημερομηνία άνω των 10 ετών, γεγονός που μπορεί να υποδηλώνει ότι οι επιχειρήσεις δεν γνωρίζουν πως γίνεται η χρήση του ανοιχτού κώδικα που κατέχουν, ούτε το περιεχόμενο του, γεγονός που αφήνει το λογισμικό χρονικά αμετάβλητο και ανοιχτό προς εκμετάλλευση.
“Μόνο μερικά τρωτά σημεία ανοιχτού κώδικα – όπως αυτά που επηρεάζουν το Apache Struts ή OpenSSL – είναι πιθανό να εκμεταλλευτούν ευρέως”, λένε οι ερευνητές. «Με αυτό το πνεύμα, οι εταιρείες πρέπει να εστιάσουν τις προσπάθειές τους στη διαχείριση αδυναμιών ανοιχτού κώδικα και την άμβλυνση των επιπτώσεών τους».
