开源安全正迅速成为一个主要问题

新研究表明，现代应用程序开发中开源软件（OSS）的广泛使用带来了“重大安全风险”。

根据网络安全公司 Snyk 和 Linux 的一份新报告（在新标签页中打开）基金会，当今的组织没有做好应对这些风险的准备。

根据对 550 多名受访者的调查，以及通过 Snyk Open Source 从 1.3 亿个开源项目中提取的数据，该报告指出，五分之二 (41%) 的公司对其开源代码的安全性没有信心。

开源代码中的漏洞

发现平均应用程序开发项目有 49 个漏洞，以及 80 个直接依赖项。通常，现在修复开源项目中的漏洞需要 110 天，而四年前则需要 49 天。

“如今的软件开发人员拥有自己的供应链，他们不再组装汽车零部件，而是通过将现有的开源组件与自己独特的代码修补在一起来组装代码。虽然这可以提高生产力和创新能力，但也带来了严重的安全问题。”Snyk 开发者关系总监 Matt Jarvis 说道。

贾维斯补充说，业界对开源软件的态度有些“天真”，这可能为各种恶意软件、勒索软件和其他攻击打开大门。

例如，只有不到一半 (49%) 的企业制定了 OSS 开发或使用的安全政策，在中型和大型企业中这一比例下降至 27%。此外，不到三分之一 (30%) 没有开源安全策略的组织意识到，目前没有人在解决开源软件的安全问题。

但一些受访者意识到开源软件在供应链中带来的安全挑战。四分之一的人表示他们担心 OSS 依赖项的安全影响，只有 18% 的人表示他们对为传递依赖项设置的控制措施充满信心，其中 40% 的漏洞都是在这些控制措施中发现的。