Linux Foundation выпускает отчет «Census III» по открытому исходному коду

Linux Foundation выпустила отчет, определяющий наиболее часто используемые библиотеки приложений для свободного и открытого программного обеспечения (FOSS).

Отчет «Census III», разработанный в партнерстве с Лабораторией инновационных наук Гарварда, предоставляет бесценные сведения о состоянии экосистемы OSS. Используя более 12 миллионов точек данных из производственных сред более чем 10 000 компаний, «Перепись III» выявляет важнейшие тенденции и проблемы, связанные с использованием OSS.

Чтобы воплотить эту работу в жизнь, Linux Foundation сотрудничала не только с Гарвардом, но и с крупными организациями, специализирующимися на анализе состава программного обеспечения (SCA), включая Black Duck, FOSSA, Snyk и Sonatype. Объединив различные знания, данные и ресурсы, это партнерство позволяет получить новое представление о широком распространении открытого программного обеспечения и выявить потенциальные риски в экосистеме.

Дэвид А. Уилер, директор по безопасности цепочек поставок с открытым исходным кодом в Open Source Security Foundation (OpenSSF), сказал: «Сегодня FOSS распространены повсеместно и служат основополагающей инфраструктурой общества. Однако его успех также сделал его мишенью для злоумышленников, стремящихся использовать уязвимости».

«Этот отчет содержит ценные сведения, которые помогут частным лицам и организациям по всему миру определить приоритеты своих инвестиций, чтобы значительно сократить как повторное появление, так и воздействие уязвимостей в FOSS - как непреднамеренных, так и злонамеренных».

Отчет Census III выявляет несколько заметных тенденций в использовании программного обеспечения с открытым исходным кодом:

• Рост использования пакетов, ориентированных на облачные вычисления: Спрос на библиотеки, ориентированные на облачные технологии, продолжает расти.
• Переход на Python 3: Продолжается переход с устаревшего Python 2 на Python 3.
• Расширение популярности: Пакеты Maven, часто используемые при разработке на Java, по-прежнему широко применяются, в то время как репозитории NuGet (ассоциируется с .NET) и Python получают все большее распространение.
• Новые технологии: Использование пакетов Rust значительно выросло по сравнению с предыдущими отчетами Census.
• Проблемы с устаревшим кодом: Устаревшее программное обеспечение продолжает использоваться, что создает дополнительные сложности для долгосрочной устойчивости СОПО.
• Соавторы и безопасность: Многие из наиболее широко используемых библиотек FOSS часто поддерживаются лишь небольшой группой авторов, что подчеркивает нехватку ресурсов и повышает важность защиты индивидуальных учетных записей разработчиков.
• Потребности в стандартизации: Отсутствие согласованных соглашений об именовании программных компонентов усложняет отслеживание зависимостей.

Авторы также отмечают изменения в цепочке поставок OSS и ее потенциальные уязвимости.

Тим Маки, руководитель отдела стратегии рисков цепочки поставок программного обеспечения компании Black Duck, прокомментировал: «Если в создании критически важного компонента участвует всего несколько человек или поставщик фактически представляет собой один анонимный аккаунт на GitHub, решения этих людей в области кибербезопасности и гигиены ПО могут привести к неожиданным бизнес-рискам».

Прозрачность и инвестиции

Учитывая ключевую роль FOSS в современной цифровой экономике, авторы отчета выступают за увеличение инвестиций в защиту и поддержку открытого ПО.

Кевин Ванг, генеральный директор FOSSA, сказал: «Отчет наглядно подтверждает повсеместное и постоянно растущее влияние открытого исходного кода на экономику. Правительственные постановления, отраслевые инициативы и подобные исследования играют важную роль в улучшении цепочки поставок программного обеспечения благодаря открытому общению, что в конечном итоге укрепляет доверие».

Результаты исследования согласуются с недавними глобальными усилиями по улучшению безопасности программного обеспечения, особенно на фоне растущего внимания со стороны правительств и политиков к критически важной инфраструктуре.

Хилари Картер, вице-президент по исследованиям Linux Foundation, добавила: «Понимание состояния здоровья и безопасности программного обеспечения с открытым исходным кодом является важным шагом для обеспечения его устойчивости. Census III подчеркивает важность выявления и поддержки широко используемых компонентов с открытым исходным кодом, дополняя проекты, инициативы и исследования Linux Foundation, ориентированные на безопасность».

В отчете также говорится о важности смягчения проблем, возникающих при децентрализованной структуре разработки.

Дэнни Аллан, технический директор Snyk, прокомментировал: «FOSS является основой современных технологий, однако его децентрализованная природа создает проблемы для понимания его истинного влияния и уязвимостей. Такие усилия, как FOSS Census, играют ключевую роль, объединяя данные, полученные от сообщества, с аналитическими данными, чтобы помочь индустрии выявить критические зависимости и определить приоритетность инвестиций».

На основе предыдущих отчетов Census

Отчет Census III основан на предыдущих отчетах, в которых впервые была предпринята попытка выявить критически важные компоненты OSS и их роль в глобальной инфраструктуре.

Первая перепись, проведенная в 2015 году, была посвящена программному обеспечению, используемому в дистрибутиве Debian Linux. Census II расширил сферу охвата, изучив пакеты OSS на уровне языка, которые обычно используются как государственными, так и частными организациями.

Теперь Census III значительно расширяет.