为什么开源软件打补丁很难

亦凉 2023-10-18 22:52 62阅读 0赞

对于数据中心运营商来说，开源软件提供了许多优势。它是免费的软件，其代码可以被检查和修改。此外，如果是一个流行的软件包，那么可能还拥有一个庞大的包含支持论坛、相关工具、兼容软件等的生态系统。

此外，根据“多双眼睛”的安全理论，很多人在关注和审查代码(例如世界上最大的金融公司的安全专业人员)，可以快速找到并修复任何问题。

为什么开源软件打补丁很难

开源软件是免费的吗?

难怪有人说大部分互联网都运行在开源软件上。这是因为大多数网站都运行在由Apache和Nginx公司领导的开源软件上，大多数企业服务器都运行在Linux操作系统上。

还有一些数据中心使用Apache Mesos和HashCorp的Nomad这两个开源数据中心操作系统。

网络安全公司TrapX的首席营销官Anthony James表示，Kubernetes和Docker是用于在服务器集群上部署容器的流行开源平台，可提供应用程序的自动化、扩展和运行。流行的开源数据库服务器还包括MySQL和MariaDB等。

即使商业软件也无法抵挡开源趋势。Synopsys公司表示，现在96%的商业应用程序都提供开源组件，而追踪开源代码的Black Duck 软件公司是Synopsys公司的子公司。

开源组件使商业软件商店和内部团队的开发更快、成本更低。

“所有这些都将产生一堆开源软件。”Black Duck公司高级技术专家Tim Mackey说，“但是开源代码的传播有一个缺点，那就是补丁管理。”

“很多人表示，那么我如何打补丁呢?”Mackey说，“他们还不是很了解。”

为什么开源软件打补丁很难

当商业软件推出最新版本或补丁时，开发商可以向他们的客户推送。这些企业知道客户在哪里，因为有财务激励，软件开发商希望向客户出售更多产品。

开源项目并非如此。任何人都可以下载开源软件，而无需任何联系或付款。如果有更新或安全补丁，将由用户自己来维护、下载并安装。

Sungard Availability Services公司安全管理与风险总监Mitch Kavalsky表示：“开源软件对漏洞修复的支持没有保证，当漏洞未得到修补时，其风险将会增加。”

这就是为什么在美国和欧洲拥有多个数据中心的托管服务商Atlantic.net公司的关键任务系统并没有采用开源软件的原因。

Atlantic.net公司首席执行官Marty Puranik表示：“关键任务系统需要有一个已知的维护路径，如果发生了错误，采用开放源代码可能只有等待新版本的推出。随着时间的推移，开源软件更多的发展，但我们还没有采用。”

但是企业希望远离开源软件并不总是那么容易。大多数企业甚至不知道其环境中有哪些开源软件、工具和组件。当Apache公司去年为其开源Struts Web应用程序框架发布了安全补丁时，Equifax公司在它的环境中搜索了两次受影响的代码。尽管Equifax正在使用Struts，但未能及时找到并修补它，并且这个漏洞曾经导致1.35亿条个人记录泄露。

更糟糕的是，当开源代码隐藏在商业软件包中时，使用它们的公司甚至可能不知道这些漏洞在哪里。

Black Duck公司表示，67%的商业应用程序正在使用具有已知漏洞的组件。

开发人员并不总是检查他们使用的开源组件是否是最新版本，甚至在他们这样做时也没有检查，而一旦将开源组件添加到代码中，开发人员很少检查是否发布了更新，它们可能已经转移到其他项目上，或者干脆忘记了他们使用的所有组件。

同时，并不是所有的开源项目都对安全性给予足够的重视。较大的开源项目可能会有企业的团队来跟踪和修复漏洞并发布补丁。但是较小的项目可能没有足够的人员来管理。

瞻博网络网络安全策略师Nick Bilogorskiy表示，“根据经验，大多数采用开源软件的项目都难于保持最新状态，并且冒着被已知漏洞利用的巨大风险。”

此外，黑客可以看到代码本身，并试图找出滥用它的方法。

GuardiCore公司研究副总裁Ofri Ziv表示，他们甚至可以利用自己可以利用的秘密后门将补丁提交给开源项目。如果开源项目程序员很少或不够专业，他们可能不会发现问题。

“由于这些原因，采用免费或开源解决方案将带来更大的风险。”位于佛罗里达州的网络安全厂商5nine软件公司的首席技术官Konstantin Malkov说。

那么采用什么样的解决方案?

第一步是掌握数据中心使用的开源软件。

通常，IT经理和开发人员可以上网并下载他们需要的工具和组件，而无需任何监督。因为它是免费的，没有购买过程，所以没有监督。

特别是，数据中心需要谨慎采用来自小项目的开源软件，因为没有强大的社区来维护它。最后，人们需要采取行动。

“应该尽快实施响应式补丁实践，以尽快处理问题，”洛杉矶的网络安全公司Prevoty的首席技术官兼共同创始人Kunal Anand说。

毕竟，居心不良的人不会无动于衷。

发表评论取消回复

表情：

评论列表（有 0 条评论，62人围观）

还没有评论，来说两句吧...

相关阅读

相关为什么开源软件打补丁很难

对于数据中心运营商来说，开源软件提供了许多优势。它是免费的软件，其代码可以被检查和修改。此外，如果是一个流行的软件包，那么可能还拥有一个庞大的包含支持论坛、相关工具、兼容

亦凉/ 2023年10月18日 22:52/ 0 赞/ 63 阅读

相关程序员自学软件工程很难学吗

程序员自学软件工程难在哪里呢？首先你要有一定的自觉性、自制能力。很多人从初中苦读到高中，考上大学的人都不差，肯定也下过一番苦功夫的，但是上了大学就放飞自我了，甚至在毕业后就再也

谁践踏了优雅/ 2023年09月23日 22:21/ 0 赞/ 156 阅读

相关 oracle 打补丁

所需补丁及高版本opatch ![20191120110900323.png][] image上传后将`p6880880_``112000_Linux-x86-64.

青旅半醒/ 2023年06月14日 15:58/ 0 赞/ 19 阅读

相关为什么前端工程师的工作很难找？

其实，这个问题，有太多的论点了。毕竟找到一份工作，首先是你个人的技术水平，其次是你对工资的要求，然后是你所在的城市。很多人刚开始接触到前端，学习到html，css觉得这些也

冷不防/ 2023年01月14日 00:47/ 0 赞/ 236 阅读

相关为什么大家觉得软件开发难学？

随着互联网的发展，软件开发行业也渐渐被大家认识和了解，从业人员也越来越多。薪资好、待遇高是大家都了解的，也是众多人才涌入的原因。除此之外，难度高也是大家普遍的认识，但真的那么难

落日映苍穹つ/ 2022年11月07日 04:29/ 0 赞/ 188 阅读

相关做技术的为什么很难发财？

![93d0a3ff6f08d6dc68a942241bd2cad8.png][] 大家经常说一个观点，做技术的很难发财。你去观察统计下身边老板，好像大多数也不是做技术出身。

小咪咪/ 2022年09月16日 00:18/ 0 赞/ 226 阅读

相关制作补丁和打补丁

1、制作补丁 diff -Nuar dir1 dir2 > patch //dir1为旧版本，dir2为新版本 // -N 如果新版本中有新文件new.c而旧版本没有该

女爷i/ 2022年07月29日 09:05/ 0 赞/ 285 阅读

相关 git版本管理软件——git发布补丁和打补丁

某几个文件的代码修改后要发到同事开发的代码中，或者修复了bug后要将修复的代码添加到另外一份库中，这个时候手动记下改动太麻烦，git有创建补丁的功能，即将改动的代码统一

一时失言乱红尘/ 2022年06月09日 12:05/ 0 赞/ 832 阅读

相关 svn版本管理软件——svn发布补丁和打补丁

svn和git一样有发布补丁和打补丁的功能，发布补丁是用在一个小型bug或小型功能的改进上，而尚未到提交版本的时候。在提交版本修改代码的工作尚未完成的时候，突然急需修复

ゝ一纸荒年。/ 2022年06月09日 10:43/ 0 赞/ 1023 阅读

相关打补丁patch命令

linux下打补丁,其实就是比较两个文件的不同,将一个文件内容变成另一个文件内容,当然可以是一个目录下的多个文件进行比较;单个文件打补丁使用命令: \[www.

朱雀/ 2022年06月02日 10:21/ 0 赞/ 418 阅读