Linux 基金會對自由和開源軟件(free and open-source software)(FOSS)社區(qū)進行的一項新調(diào)查表明，貢獻者花在安全問題上的時間不到 3%，而且?guī)缀鯖]有增加這一比例的意愿。

[[357456]]

Linux 基金會和哈佛大學(xué)創(chuàng)新科學(xué)實驗室(Laboratory for Innovation Science at Harvard)(LISH)根據(jù)近 1200 名 FOSS 貢獻者的回答所做的一份報告顯示，隨著企業(yè)和經(jīng)濟越來越依賴開源軟件，開發(fā)人員“明顯需要”將更多的時間用于 FOSS 項目的安全。

該調(diào)查包括了旨在幫助研究人員了解貢獻者如何分配他們在 FOSS 上的時間的問題，該調(diào)查顯示，受訪者平均只花了其總貢獻時間的 2.27% 來應(yīng)對安全問題。

此外，這些問題的回答還表明，許多受訪者對增加安全方面的時間和精力興趣不大。一位受訪者評論說，他們“覺得安全是一件令人心力交瘁的苦差事，是一個最好留給律師和流程狂人的課題”，而另一位受訪者則說：“我發(fā)現(xiàn)安全是一個令人難以忍受的、無聊的流程障礙。”

研究人員得出結(jié)論，需要對 FOSS 的安全和審計采取一種新的方法，以改善安全實踐，同時控制對貢獻者的負擔(dān)。

貢獻者需求最多的一些工具是錯誤和安全修復(fù)、免費的安全審計，以及將安全相關(guān)工具添加到其持續(xù)集成(CI)管道的簡化方法。

“顯然需要為 FOSS 的安全投入更多的精力，但這個負擔(dān)不應(yīng)該只落在貢獻者身上。”報告中寫道。“開發(fā)人員一般不想成為安全審計人員，他們希望得到審計結(jié)果。”

研究人員提出的其他解決方案包括：鼓勵組織將精力重新投入到識別和解決項目本身的安全問題上。另外，開發(fā)人員“可以重寫 FOSS 項目中容易出現(xiàn)漏洞的部分或整個組件”，而不是試圖修補現(xiàn)有代碼。

研究人員繼續(xù)說道，“提高重寫安全性的一種方法是將內(nèi)存不安全的語言(如 C 或 C++)轉(zhuǎn)換為內(nèi)存安全的語言(幾乎所有的其它語言)。……這將消除一整類漏洞，如緩沖區(qū)溢出和雙重釋放。”

性別多樣性 —— 或者說，缺乏多樣性 —— 是該報告的另一個關(guān)鍵發(fā)現(xiàn)。

在 1196 名調(diào)查對象中，91% 的人報告說是男性，年齡在 25 至 44 歲之間。研究人員指出，這一發(fā)現(xiàn)“強調(diào)了人們對 FOSS 社區(qū)缺乏女性代表的持續(xù)關(guān)注。”并指出，報告中缺乏女性代表表明，結(jié)果“偏向于男性貢獻者的 FOSS 活動，并不能完全代表女性對 FOSS 的貢獻。”

調(diào)查的大多數(shù)受訪者來自北美或歐洲，大多數(shù)人從事全職工作。將近一半(48.7%)的人說，他們在開放源碼貢獻上花費的時間得到了雇主的報酬，而 44.02% 的人說，這是他們唯一得到報酬的途徑。

有趣的是，結(jié)果表明，COVID-19 大流行病對貢獻者的工作狀態(tài)影響不大，只有極少數(shù)受訪者報告說已脫離工作。研究人員再次指出，由于調(diào)查中缺乏女性代表，“這些調(diào)查結(jié)果可能并不能反映為 FOSS 做出貢獻的女性的經(jīng)歷，特別是那些在大流行期間受到家庭責(zé)任增加影響的女性。”

雖然絕大多數(shù)受訪者(74.8%)都是全職雇員，超過一半(51.6%)的受訪者是專門為開發(fā) FOSS 而接受報酬的，但在開發(fā)者為開源項目做出貢獻的動機中，金錢的得分很低，“渴望得到同行的認可”也是如此。

相反，開發(fā)者說他們純粹是對為他們正在開發(fā)的開源項目尋找功能、修復(fù)和解決方案感興趣。其他最主要的動機包括享受和希望回饋他們所使用的 FOSS 項目。

“現(xiàn)代經(jīng)濟 —— 無論是數(shù)字經(jīng)濟還是實體經(jīng)濟 —— 越來越依賴于自由和開源軟件，”哈佛商學(xué)院(Harvard Business School)助理教授 Frank Nagle 說。

“了解 FOSS 貢獻者的動機和行為是確保這一關(guān)鍵基礎(chǔ)設(shè)施未來安全和可持續(xù)性的關(guān)鍵一環(huán)。”