Strategier för att stärka säkerheten inom öppen källkod

Chris Wright, Chief Technology Officer och Senior Vice President, Global Engineering på Red Hat, diskuterar i sin krönika de senaste rubrikerna kring AI-drivna zero-day-sårbarheter. Frågan som ställs är om öppen källkod blivit för riskabel. Med över tre fjärdedelar av modern kodbas baserad på öppen källkod är svaret tydligt: den är fortfarande säker och robust.

Tekniken som bygger på öppen källkod omfattar allt från applikationsservrar till databaser och nätverksinfrastruktur. Alternativet, proprietär mjukvara, erbjuder begränsad insyn och skapar osäkerhet kring sårbarheters hantering. Transparensen i öppen källkod underlättar identifiering av säkerhetsproblem.

Öppen källkod möjliggör att många granskare kan bidra till kodens säkerhet. Idag förstärks detta av AI, som snabbt kan analysera stora kodmängder. Många organisationer har starka incitament att åtgärda sårbarheter snabbt, då de använder samma komponenter.

Trots att ingen mjukvaruutveckling kan garantera absolut säkerhet ger transparensen och kollektiv granskning viktiga fördelar. Utmaningen är att hantera den accelererande hastigheten av nya sårbarheter, med en ökning av publicerade CVE:er med över 520 procent sedan 2016.

AI-verktyg kan nu identifiera kritiska sårbarheter på timmar, men åtgärderna är ofta för långsamma. Samarbetet mellan organisationer för att hantera gemensamma sårbarheter är avgörande för att undvika dubbelarbete och ojämn kvalitet.

För att stärka säkerheten inom öppen källkod är det viktigt att snabbt vidta åtgärder. Först bör företag välja plattformar från ansvarstagande leverantörer som bidrar aktivt till open source-projekt. Det är också viktigt att skapa en komplett inventering av beroenden inom verksamheten.

Vidare bör organisationer definiera hur lång tid det tar för säkerhetsuppdateringar att implementeras och sikta på att automatisera processerna för driftsättning. Detta minskar tiden mellan upptäckter och åtgärder, vilket förbättrar säkerheten.

IBM och Red Hat presenterade nyligen Lightwell, ett projekt som syftar till att stärka säkerheten i mjukvaruförsörjningskedjan. Genom att kombinera AI-analys med mänsklig expertis kan man erbjuda snabba säkerhetsuppdateringar för stabila versioner.

Det är avgörande att återföra förbättringar till de ursprungliga open source-projekten för att undvika privata kodgrenar som ökar kostnader och risker. Lightwell syftar till att bryta detta mönster och skapa en bättre samordning av sårbarheter.

Att skydda öppen källkod och mjukvaruförsörjningskedjan är en utmaning som kräver samarbete. Genom att dela information och erfarenheter kan organisationer stärka sig själva och det bredare ekosystemet. Bra samarbete och snabbare åtgärder är avgörande för att upprätthålla innovation och säkerhet.