Af Aksel Brinck, Alt om Data
Denne artikel er oprindeligt bragt på Alt om Data. Computerworld overtog i november 2022 Alt om Data. Du kan læse mere om overtagelsen her.
Det er mange år, siden open source-løsninger blev skyet som ilden af virksomheder og offentlige institutioner. Den åbne kildekode er kommet ind i varmen og hyldes ligefrem tit som den helt rigtige, uafhængige løsning – og som en behagelig måde at skyde genvej, når man udvikler ny software. Det var blandt andet sikkerheden, man frygtede tidligere, og det problem er ikke helt løst endnu, advarer rapport.
For eksempel har under halvdelen af alle organisationer en sikkerhedspolitik for udvikling med open source-software, står der i rapporten The State of Open Source Security 2022, som er lavet i et samarbejde mellem sikkerhedsspecialisten Snyk og The Linux Foundation. Det skriver internetmediet Virtualization Review.
Ingen adresserer sikkerheden
30 procent af de organisationer, som ikke har en open source-sikkerhedspolitik, erkender åbenlyst, at ingen på deres team i øjeblikket direkte adresserer open source-sikkerhed
"Ligesom udviklere af proprietær kode bruger open source-pakker til at fremskynde udviklingen, så gør skaberne af open source det," skriver Snyk i et blogindlæg og fortsætter:
"Det betyder, at open source-biblioteker ofte bygger på andre open source-biblioteker – der er kendt som indirekte eller transitive afhængigheder – og skaber dermed et komplekst træ af afhængigheder. (...) Sårbarheder kan leve gennem disse lag (som vi for nylig så med Log4Shell). Håndtering af denne risiko kræver gennemtænkt planlægning og implementering af sikkerhedspolitikker, der adresserer den potentielle angrebsoverflade i open source-biblioteker."
90 procent har open source
Ifølge Snyk er der i 70-90 procent af moderne software involveret åben kildekode i et eller andet omfang.
Udfordringen er, at mange organisationer stadig ikke fuldt ud forstår omfanget af potentielle sårbarheder i open source og ikke har en sikkerhedspolitik for denne type kode på plads, angiver Snyk.
Den manglende politik er måske skyld i, at den tid, som det tager at ordne sårbarheder i open source-projekter, fortsætter med at stige. Ifølge rapporten var den i 2018 på 49 dage, men var sidste år steget til 110 dage.
