科技巨头协力解决开源软件安全 360称开源安全已成信息产业基础设施

砍柴网  •  扫码分享
我是创始人李岩:很抱歉!给自己产品做个广告,点击进来看看。  

近日,美政府与37家 科技 巨头、开源社群召开开源软件安全峰会,并发布《开源软件安全动员计划白皮书》。亚马逊、谷歌、微软、威睿、戴尔、英特尔等科技巨头参加并承诺,在未来两年内,将投入1.5亿元经费解决相关问题。

对此,360天枢智库高级研究员魏小强表示,该计划标志着一个新的和关键的资源汇聚的开始,建立在开源软件基础上的知识、员工和资金充分融合,以进一步支持数字世界开源软件安全的基础设施。这件事给我国的启示是,开源软件安全已经成为信息产业的重要的基础设施,与任何公路或桥梁一样重要,都需要长期进行有组织的维护。

事实上,开源软件一直面临安全风险。360方面曾指出,全球范围内90%以上的云服务器操作系统、80%以上的移动操作系统都基于开源软件。但是由于开源软件开发人员来自不同国家、不同背景,源代码的查看、修改、增加权限较为开放,很容易被植入“后门”。甚至,业界对开源代码很多是直接拿来使用,或只做些小修小补,因此很容易带入未知的安全风险。

而我国银行、能源、国防、医疗、电力等重要行业运行的系统,也大量使用开源软件。如果被恶意利用,足以撼动我国关键信息基础设施的安全。

因此,建设开源软件安全生态势在必行。“开源软件安全是一个影响每个使用软件的组织(包括政府和企业)的问题。要解决如此复杂的问题,单独依靠任何一方都显得力不从心。”魏小强称。

而如何保持持久性则成为开源软件安全生态建设的一大挑战。“该白皮书给我们的启示是,依靠政府、安全公司、科技企业进行协作,从资金、人才和知识三个方面入手,建立一种长远的社区激励机制将具有重要意义。”魏小强认为,具体建议包括建立开源软件安全维护者社区,推动软件安全教育,建立常用和重要的开源软件组件清单并定期进行风险评估,对核心的开源安全组件采用数字签名验证等。

此外,最重要的一点是要激励创新。“开源软件安全问题,说到底还是一个价值创新问题。”魏小强表示,利用社区的力量有组织的构建开源安全社区生态,不断激励创新,把价值回归到社区的贡献者身上,才能持续的解决好软件供应链安全问题。

随意打赏

提交建议
微信扫一扫,分享给好友吧。