近日，美政府與37家科技巨頭、開(kāi)源社群召開(kāi)開(kāi)源軟件安全峰會(huì)，并發(fā)布《開(kāi)源軟件安全動(dòng)員計(jì)劃白皮書(shū)》。亞馬遜、谷歌、微軟、威睿、戴爾、英特爾等科技巨頭參加并承諾，在未來(lái)兩年內(nèi)，將投入1.5億元經(jīng)費(fèi)解決相關(guān)問(wèn)題。
對(duì)此，360天樞智庫(kù)高級(jí)研究員魏小強(qiáng)表示，該計(jì)劃標(biāo)志著一個(gè)新的和關(guān)鍵的資源匯聚的開(kāi)始，建立在開(kāi)源軟件基礎(chǔ)上的知識(shí)、員工和資金充分融合，以進(jìn)一步支持?jǐn)?shù)字世界開(kāi)源軟件安全的基礎(chǔ)設(shè)施。這件事給我國(guó)的啟示是，開(kāi)源軟件安全已經(jīng)成為信息產(chǎn)業(yè)的重要的基礎(chǔ)設(shè)施，與任何公路或橋梁一樣重要，都需要長(zhǎng)期進(jìn)行有組織的維護(hù)。
事實(shí)上，開(kāi)源軟件一直面臨安全風(fēng)險(xiǎn)。360方面曾指出，全球范圍內(nèi)90%以上的云服務(wù)器操作系統(tǒng)、80%以上的移動(dòng)操作系統(tǒng)都基于開(kāi)源軟件。但是由于開(kāi)源軟件開(kāi)發(fā)人員來(lái)自不同國(guó)家、不同背景，源代碼的查看、修改、增加權(quán)限較為開(kāi)放，很容易被植入“后門”。甚至，業(yè)界對(duì)開(kāi)源代碼很多是直接拿來(lái)使用，或只做些小修小補(bǔ)，因此很容易帶入未知的安全風(fēng)險(xiǎn)。
而我國(guó)銀行、能源、國(guó)防、醫(yī)療、電力等重要行業(yè)運(yùn)行的系統(tǒng)，也大量使用開(kāi)源軟件。如果被惡意利用，足以撼動(dòng)我國(guó)關(guān)鍵信息基礎(chǔ)設(shè)施的安全。
因此，建設(shè)開(kāi)源軟件安全生態(tài)勢(shì)在必行。“開(kāi)源軟件安全是一個(gè)影響每個(gè)使用軟件的組織(包括政府和企業(yè))的問(wèn)題。要解決如此復(fù)雜的問(wèn)題，單獨(dú)依靠任何一方都顯得力不從心。”魏小強(qiáng)稱。
而如何保持持久性則成為開(kāi)源軟件安全生態(tài)建設(shè)的一大挑戰(zhàn)?！霸摪灼?shū)給我們的啟示是，依靠政府、安全公司、科技企業(yè)進(jìn)行協(xié)作，從資金、人才和知識(shí)三個(gè)方面入手，建立一種長(zhǎng)遠(yuǎn)的社區(qū)激勵(lì)機(jī)制將具有重要意義?！蔽盒?qiáng)認(rèn)為，具體建議包括建立開(kāi)源軟件安全維護(hù)者社區(qū)，推動(dòng)軟件安全教育，建立常用和重要的開(kāi)源軟件組件清單并定期進(jìn)行風(fēng)險(xiǎn)評(píng)估，對(duì)核心的開(kāi)源安全組件采用數(shù)字簽名驗(yàn)證等。
此外，最重要的一點(diǎn)是要激勵(lì)創(chuàng)新?！伴_(kāi)源軟件安全問(wèn)題，說(shuō)到底還是一個(gè)價(jià)值創(chuàng)新問(wèn)題?！蔽盒?qiáng)表示，利用社區(qū)的力量有組織的構(gòu)建開(kāi)源安全社區(qū)生態(tài)，不斷激勵(lì)創(chuàng)新，把價(jià)值回歸到社區(qū)的貢獻(xiàn)者身上，才能持續(xù)的解決好軟件供應(yīng)鏈安全問(wèn)題。
推薦閱讀：
ebay 禁止在英國(guó)市場(chǎng)銷售一次性塑料制品
亞馬遜首家實(shí)體服裝店開(kāi)業(yè)
舊的亞馬遜 kindle 電子閱讀器將不再能買書(shū)