Linux Foundation се усъмни в сигурността на отворения код

Софтуерът с отворен код стана изключително популярен сред разработчиците и технологичните компании, но неограниченото му използване се превръща в риск за сигурността на потребителите, алармира доклад, изготвен от Snyk и Linux Foundation.

Данните от анализа „Състоянието на сигурността на отворения код” сочат, че повече от една трета от организациите не са убедени в безопасността на своите софтуерни решения с отворен код.

Според говорителя на Snyk, Мат Джарвис, разработчиците на софтуер днес имат свои собствени “вериги за доставки” – те сглобяват код, закрепвайки съществуващите компоненти със собствен уникален код. Въпреки че води до повишена производителност и иновации, подобен подход крие значителни рискове за сигурността.

Първият по рода си доклад подчертава наивните представи на технологичните компании за състоянието на екосистемата от решения, базирани на отворен код. Заедно с Linux Foundation, компанията Snyk планира да използва тази информация, за да обучава и снабдява световните разработчици с решения, които им позволяват да продължат бързо да създават софтуер, като същевременно поддържат необходимото ниво на сигурност.

Проучването сочи, че проектите за разработка на приложения с отворен код имат средно 49 уязвимости и 80 т.нар. „директни зависимости”. Освен това времето за отстраняване на идентифицирани проблеми в проекти с отворен код непрекъснато се увеличава. Ако през 2018 г. са били необходими средно 49 дни за премахване на уязвимост, то през 2021 г. това отнема около 110 дни.

[related-posts]

Докладът се базира на проучване сред повече от 550 респонденти през първото тримесечие на 2022 г., както и на данни от базата Snyk Open Source, която включва информация за 1,3 милиарда проекта с отворен код.

Само 49% от организациите имат специфична политика за сигурност при разработване или използване на софтуер с отворен код, като при средните и големите компании този показател е 27%. Около 30% от компаниите дори признават, че нямат нито едно лице, пряко или косвено отговорно за сигурността на програмите с отворен код.