草庐IT

开源代码带来的10大安全和运营风险

何威风 2023-03-28 原文
Endor Labs 引入了OWASP风格的清单,列出了使用开源软件 (OSS) 中固有的最重要或影响最大的风险。

OSS 的使用实际上是免费的,而且随时可用——它满足了软件开发中对速度和低成本的商业需求。超过 80% 的现代应用程序代码来自 OSS 的情况并不少见,因此它会一直存在(至少在某些新技术可以提供更快但仍然便宜的软件开发之前)。

这里的问题是我们对我们使用的开源的来源知之甚少。它没有保证或 SLA;我们通常不知道这个开发工具的开发者;它可以在我们不知情的情况下引入重大安全风险(想想Log4J)。

Endor Labs 是一家总部位于加利福尼亚州帕洛阿尔托的初创公司,由 Dimitri Stiliadis(首席技术官)和 Varun Badhwar(首席执行官)于 2021 年创立,是一家专注于在商业应用程序开发中越来越多地使用 OSS 所包含的复杂性和威胁的公司。

其 Station 9 研究团队现已开发并发布了一份关于十大开源软件风险的报告。希望是为 OSS 效仿OWASP Top Ten 为 Web 应用程序安全提供的内容。它按严重程度列出了十个最重要的风险(安全和/或操作),提供了描述、示例、补救措施和进一步的参考来源。与 OWASP 列表一样,它将随着个别风险的变化或严重程度被新风险取代而得到维护。

不出所料,当前排名第一的风险是“已知漏洞”。Endor 描述指出,“组件版本可能包含易受攻击的代码,由其开发人员意外引入。漏洞详细信息已公开,例如通过 CVE。漏洞利用和补丁可能可用也可能不可用。” 这里值得注意的是 Rapid7 的研究指出,56% 的 CVE 漏洞在公开披露后的 7 天内被利用。

其余九种风险是:

  • 合法包的妥协,例如,攻击者可能会注入恶意代码以利用供应链攻击该代码的用户
  • 名称混淆攻击,类似于基于 Web 的攻击中的拼写错误抢注
  • 未维护的软件,其中的组件可能在不知不觉中不再得到维护或支持
  • 过时的软件,即使可能有更新的版本,但仍在使用旧版本,
  • 未跟踪的依赖项,可能是因为它不是上游 SBOM 的一部分
  • 许可证和监管风险,例如,许可证可能与下游消费者的预期用途不相容
  • 不成熟的软件,OSS项目开发可能不符合开发最佳实践
  • 未经批准的更改,组件可能在开发人员不知情的情况下更改
  • 依赖性过小或过大,在后一种情况下,组件可能会提供很多功能,但只能使用其中的一小部分
当然,OSS 风险远不止十种。“如果情况发生变化,我们可能至少每年都会更新这份名单。几年,什么都不会改变;几年之后,”Badhwar 告诉SecurityWeek

您可能认为引入 SBOM 是为了为应用程序开发人员解决这些问题,但 SBOM 几乎是独一无二的,它是一项领先于行业实践而不是落后于行业实践的法规。“业界还没有为 SBOM 做好准备,”Badwahr 说。自动生成通常不准确且不完整。“如果我们要转向使用 SBOM 作为我们风险分析的无可争议的事实来源,我们需要解决这些问题。今天情况并非如此。”

尽管 OSS 生态圈对许多正在使用的商业应用程序很重要,但它的脆弱性也值得考虑。Badwahr 指向 Core-JS。“Core-JS 是互联网的基石。选择任何互联网应用程序,你都可以确定它使用了 Core-JS。”

但是 Core-JS 由俄罗斯的 Denis Pushkarev 维护。他靠它过着相对微薄的生活——直到现在。西方对俄罗斯的财政捐助受到了西方货币制裁的打击。根据 The Stack 的一份报告,他被迫考虑替代方案,包括将其封闭源代码和商业化。 

事实上,OSS 生态圈的可持续性取决于其贡献者的可持续性,而这与地缘政治的未来一样难以预测。Endor 希望对主要 OSS 风险的列举能够帮助应用程序开发人员将注意力集中在使用开源软件所涉及的风险上——包括突然无人维护的软件(风险 #4)。

有关开源代码带来的10大安全和运营风险的更多相关文章

  1. ruby - 如何在 buildr 项目中使用 Ruby 代码? - 2

    如何在buildr项目中使用Ruby?我在很多不同的项目中使用过Ruby、JRuby、Java和Clojure。我目前正在使用我的标准Ruby开发一个模拟应用程序,我想尝试使用Clojure后端(我确实喜欢功能代码)以及JRubygui和测试套件。我还可以看到在未来的不同项目中使用Scala作为后端。我想我要为我的项目尝试一下buildr(http://buildr.apache.org/),但我注意到buildr似乎没有设置为在项目中使用JRuby代码本身!这看起来有点傻,因为该工具旨在统一通用的JVM语言并且是在ruby中构建的。除了将输出的jar包含在一个独特的、仅限ruby​​

  2. ruby-on-rails - Rails 源代码 : initialize hash in a weird way? - 2

    在rails源中:https://github.com/rails/rails/blob/master/activesupport/lib/active_support/lazy_load_hooks.rb可以看到以下内容@load_hooks=Hash.new{|h,k|h[k]=[]}在IRB中,它只是初始化一个空哈希。和做有什么区别@load_hooks=Hash.new 最佳答案 查看rubydocumentationforHashnew→new_hashclicktotogglesourcenew(obj)→new_has

  3. ruby-on-rails - 浏览 Ruby 源代码 - 2

    我的主要目标是能够完全理解我正在使用的库/gem。我尝试在Github上从头到尾阅读源代码,但这真的很难。我认为更有趣、更温和的踏脚石就是在使用时阅读每个库/gem方法的源代码。例如,我想知道RubyonRails中的redirect_to方法是如何工作的:如何查找redirect_to方法的源代码?我知道在pry中我可以执行类似show-methodmethod的操作,但我如何才能对Rails框架中的方法执行此操作?您对我如何更好地理解Gem及其API有什么建议吗?仅仅阅读源代码似乎真的很难,尤其是对于框架。谢谢! 最佳答案 Ru

  4. ruby - 模块嵌套代码风格偏好 - 2

    我的假设是moduleAmoduleBendend和moduleA::Bend是一样的。我能够从thisblog找到解决方案,thisSOthread和andthisSOthread.为什么以及什么时候应该更喜欢紧凑语法A::B而不是另一个,因为它显然有一个缺点?我有一种直觉,它可能与性能有关,因为在更多命名空间中查找常量需要更多计算。但是我无法通过对普通类进行基准测试来验证这一点。 最佳答案 这两种写作方法经常被混淆。首先要说的是,据我所知,没有可衡量的性能差异。(在下面的书面示例中不断查找)最明显的区别,可能也是最著名的,是你的

  5. ruby - 寻找通过阅读代码确定编程语言的ruby gem? - 2

    几个月前,我读了一篇关于ruby​​gem的博客文章,它可以通过阅读代码本身来确定编程语言。对于我的生活,我不记得博客或gem的名称。谷歌搜索“ruby编程语言猜测”及其变体也无济于事。有人碰巧知道相关gem的名称吗? 最佳答案 是这个吗:http://github.com/chrislo/sourceclassifier/tree/master 关于ruby-寻找通过阅读代码确定编程语言的rubygem?,我们在StackOverflow上找到一个类似的问题:

  6. ruby - Net::HTTP 获取源代码和状态 - 2

    我目前正在使用以下方法获取页面的源代码:Net::HTTP.get(URI.parse(page.url))我还想获取HTTP状态,而无需发出第二个请求。有没有办法用另一种方法做到这一点?我一直在查看文档,但似乎找不到我要找的东西。 最佳答案 在我看来,除非您需要一些真正的低级访问或控制,否则最好使用Ruby的内置Open::URI模块:require'open-uri'io=open('http://www.example.org/')#=>#body=io.read[0,50]#=>"["200","OK"]io.base_ur

  7. 程序员如何提高代码能力? - 2

    前言作为一名程序员,自己的本质工作就是做程序开发,那么程序开发的时候最直接的体现就是代码,检验一个程序员技术水平的一个核心环节就是开发时候的代码能力。众所周知,程序开发的水平提升是一个循序渐进的过程,每一位程序员都是从“菜鸟”变成“大神”的,所以程序员在程序开发过程中的代码能力也是根据平时开发中的业务实践来积累和提升的。提高代码能力核心要素程序员要想提高自身代码能力,尤其是新晋程序员的代码能力有很大的提升空间的时候,需要针对性的去提高自己的代码能力。提高代码能力其实有几个比较关键的点,只要把握住这些方面,就能很好的、快速的提高自己的一部分代码能力。1、多去阅读开源项目,如有机会可以亲自参与开源

  8. 7个大一C语言必学的程序 / C语言经典代码大全 - 2

    嗨~大家好,这里是可莉!今天给大家带来的是7个C语言的经典基础代码~那一起往下看下去把【程序一】打印100到200之间的素数#includeintmain(){ inti; for(i=100;i 【程序二】输出乘法口诀表#includeintmain(){inti;for(i=1;i 【程序三】判断1000年---2000年之间的闰年#includeintmain(){intyear;for(year=1000;year 【程序四】给定两个整形变量的值,将两个值的内容进行交换。这里提供两种方法来进行交换,第一种为创建临时变量来进行交换,第二种是不创建临时变量而直接进行交换。1.创建临时变量来

  9. git使用常见问题(提交代码,合并冲突) - 2

    文章目录git常用命令(简介,详细参数往下看)Git提交代码步骤gitpullgitstatusgitaddgitcommitgitpushgit代码冲突合并问题方法一:放弃本地代码方法二:合并代码常用命令以及详细参数gitadd将文件添加到仓库:gitdiff比较文件异同gitlog查看历史记录gitreset代码回滚版本库相关操作远程仓库相关操作分支相关操作创建分支查看分支:gitbranch合并分支:gitmerge删除分支:gitbranch-ddev查看分支合并图:gitlog–graph–pretty=oneline–abbrev-commit撤消某次提交git用户名密码相关配置g

  10. ruby - 这两段代码有什么区别? - 2

    打印1:defsum(i)i=i+[2]end$x=[1]sum($x)print$x打印12:defsum(i)i.push(2)end$x=[1]sum($x)print$x后者是修改全局变量$x。为什么它在第二个例子中被修改而不是在第一个例子中?类Array的任何方法(不仅是push)都会发生这种情况吗? 最佳答案 变量范围在这里无关紧要。在第一段代码中,您仅使用赋值运算符=为变量i赋值,而在第二段代码中,您正在修改$x(也称为i)使用破坏性方法push。赋值从不修改任何对象。它只是提供一个名称来引用一个对象。方法要么是破坏性

随机推荐