在人们的潜意识里，开源更安全是因为有大量的技术人员可以帮助发现漏洞并修改，但是，可以帮和真的有人去帮是完全不同的两个概念，前者属于道德上的理想，后者则需要有市场化的可行方案。
2014 年伊始，一场安全新闻里的心脏流血事故激起了不少的浪花。和以往的安全新闻里那些大牌公司微软、苹果不同，这次的问题发生在一个很小的开源软件OpenSSL 身上，而这个软件虽然是一帮程序员不拿任何报酬在茶余饭后开发出来的，却用在了大量的大型企和组织网站上，带来的影响也非同凡响。
开源软件的安全
很长时间以来，开源被视为安全的代名词，Linux系统最早在和微软的Windows 系统进行比较时，最常见的一个说法就是Linux 更加安全，因为它是开源的。可是如果我们看一下开源软件的漏洞情况，就会发现这一情况并不真实。根据SEBUG 网站上给出的Open漏洞列表，我们可以看出，OpenSSL 的问题不是今日开始，早从2007 年起就公布了OpenSSL 的漏洞，其中2009 年被公布的漏洞更是高达6 个，而实际由于0Day市场的存在，更多的漏洞可能还没有被公布。如果说OpenSSL 的漏洞数量还不够多，我们可以看一下另一个重要的开源软件Apache，根据SEBUG 的统计，从2003 年以来APACHE 仅公布的漏洞就近300 个。由此可以看出，开源软件的漏洞从来没有因为是开源就变得代码质量更好，或者漏洞更少。
最早开源软件被认为更安全的观点，是认为所有的程序员都可以帮助审查Linux 系统的源代码来发现漏洞，同时提交自己的修改方案来解决漏洞，而那些拒绝开放代码的公司比如微软必须自己雇人来解决这个问题，能发现的问题就很有限。但事实上，可以帮和真的有人去帮是完全不同的两个概念，前者属于道德上的理想，后者则其实需要有市场化的可行方案。Raymond 在写对比开源软件与商业软件的《大教堂与市集》时，也没有把开源软件写成一个乌托邦，而是一个更自由的市场。
目前看起来，似乎市场的问题正在开始解决，Arstechnica 的新闻里报道：Linux 基金会将开始一个为期三年的计划，募集至少390 万美元，来改善那些缺乏资助的开源项目，OpenSSL 将是这个项目的第一个获益者。Amazon、Facebook 等大公司承诺三年内每年向该项目投入至少十万美元。同时那些依赖OpenSSL的开源软件也会和OpenSSL 共享它们所获得的捐赠。
但金钱只是一个开始，开源社区的经济学生态环境才是真正需要建设的。如果真是资金能够解决问题，那么也许就不会有开源软件的出现，软件工程的“银弹”也就出现了。从开发者的角度，大多数开源软件的贡献者期望的不是或者不仅仅是金钱的回报，道德和荣誉感的归属同样是他们内心渴求的。在OpenSSL 漏洞曝出的同时，关于“OpenSSL 代码写的风格很差”、“我提交的补丁他们审核太慢”、“我们不如另起一套系统”这样的消息也不断见诸开发者的论坛中。在一个自由的有特色的市场中，如何寻找它的道路还是一个很长的过程。
而作为一个使用开源软件的企业，比起向这个项目进行金钱的捐赠，更重要的一部分是为这个项目进行人力的捐赠，提交自己修改的补丁，主动地为项目进行各类测试并共享结果，这样可能更能提高你所使用的开源软件的质量。
安全漏洞的开源
说完开源软件的安全，我们再看一看安全漏洞的开源。尽管由于这几年宣传力度的不断提高，大多数用户们除了微软公司每个月升级的补丁，也通过360或者腾讯这些管家们了解到自己的机器上有这么多的漏洞。但对于威胁更严重的服务器端的软件漏洞们，用户们依然几乎一无所知，而随着私人信息云端化的发展，服务端的漏洞可能为用户带来的损失更大，即使用户个人遭受了损失，可能也不知道是怎么回事，企业可能还一脸官腔地说不关我们的事。所以在安全漏洞上同样存在开源的开拓者们，比如国内著名的乌云网站, 希望能建成一个自由平等开放的漏洞报告平台。通过公开漏洞，不仅让用户知道数据可能或已经发生了什么事情，同时也给企业以更大的压力来迅速修补漏洞。但是对乌云这样的平台，却同样也存在压力，很多企业依然认为，如果公布了漏洞，大家都来攻击，那岂不是更加不安全，而且被人发现有漏洞也是一件很没有面子的事情，所以会试图采用公关手段来避免漏洞的公布。
开源的安全漏洞市场并非一个孤立的市场，事实上安全漏洞的市场环境要比开源软件更为复杂，在漏洞这个名词出现以后，面向企业的漏洞市场、灰色漏洞市场和黑色漏洞市场就已然依次诞生。这些市场通过封闭的地下交易让漏洞交到企业或者牟利者手中，但是由于企业所能付出的代价和攻击牟利方获得的代价相差甚远，尽管很多有道德的漏洞挖掘者会把漏洞交给企业，更多的漏洞会流向攻击者。另一方面，企业由于封闭的漏洞生态系统而不用面临公众压力，对漏洞的修补也未必及时，可能一个漏洞买回来很久，也没有真的把补丁打上。而漏洞挖掘者由于企业的态度问题，也往往未必愿意把漏洞交给企业。开源的安全漏洞给这种封闭体系之外带来一种开放的生态体系，但这个体系和开源软件的市场一样，同样需要企业、漏洞挖掘者和用户共同培养一个有益的市场生态环境。
所以寻求和构建一个更有利于自己的安全漏洞开源市场是有利于互联网企业的，那些依然停留在传统企业阶段试图通过公关和其他非公开手段来解决自己面临的漏洞或攻击的企业将面临更大的风险。企业要明白的是，在互联网时代，你想瞒住所有人一件事情是几乎不可能的，而欺瞒的代价会是企业信誉甚至企业本身的崩溃。比如2011 年发生的DigiNotar 事件，荷兰的证书颁发公司DigiNotar 在发现自己面临的攻击后，并没有如实公布遭受攻击的情况，并一再宣称攻击的后果在控制之内，可是经过名为“Black Tulip”的第三方机构调查后，发现攻击后果已远超DigiNotar 公布的情况，DigiNotar 公司也因为这次攻击彻底失去了信任并宣告破产。（作者单位为东南大学计算机系）
来源：中国教育网络
a363218774 于 2014-06-30 09:44:05发表:
:0)1