Découvrez le rapport 2022 sur l’état de la sécurité de l’open source de Snyk et de la Linux Foundation

Les logiciels open source sont un élément essentiel des applications modernes. Ils ont ouvert une nouvelle ère dans le développement logiciel, en favorisant le libre échange d’idées au sein de la communauté des développeurs et en leur permettant de créer des logiciels plus fonctionnels, plus rapidement que jamais. Selon la plupart des estimations, 70 à 90 % de tout logiciel moderne contient du code open source.

Tout comme les développeurs de code propriétaire utilisent des packages open source pour accélérer le développement, les créateurs de logiciels open source en font autant. Ainsi, les bibliothèques open source reposent souvent sur d’autres bibliothèques open source, appelées dépendances indirectes ou transitives, formant un arbre de dépendances complexe. Du point de vue de la sécurité, les logiciels open source ajoutent de nombreuses couches de code à vos applications — et des vulnérabilités peuvent se trouver à tous les niveaux (comme nous l’avons récemment vu avec Log4Shell). La gestion de ces risques nécessite une planification réfléchie et la mise en œuvre de politiques de sécurité qui tiennent compte de la surface d’attaque potentielle des bibliothèques open source. Elle exige également de doter votre équipe d’outils fiables et efficaces pour corriger les vulnérabilités détectées, et de rester à jour face à l’apparition de nouvelles vulnérabilités.

Face à la prolifération de l’open source et à la complexité croissante des arbres de dépendances, Snyk s’est récemment associé à la Linux Foundation pour étudier la manière dont les organisations détectent, atténuent et réduisent les risques de sécurité liés aux logiciels open source. Aujourd’hui, nous sommes fiers de vous présenter les résultats de cette étude : le rapport 2022 sur l’état de la sécurité de l’open source.

Les chiffres clés de notre étude

Ce rapport annuel détaille les risques de sécurité importants liés à l’utilisation généralisée des logiciels open source. Notre étude révèle que de nombreuses organisations ne sont pas préparées à faire face à ces risques. Plus précisément, nous avons constaté que :

• 41 % des organisations n’ont pas une grande confiance dans la sécurité de leurs logiciels open source.

• En moyenne, les applications en cours de développement comportent 49 vulnérabilités et 69 dépendances.

• Le temps nécessaire pour corriger les vulnérabilités dans les projets open source n’a cessé d’augmenter : il a plus que doublé, passant de 49 jours en 2018 à 110 jours en 2021.

• 51 % des organisations ne disposent pas de politique de sécurité pour le développement ou l’utilisation de l’OSS.

• Parmi les organisations qui ne disposent pas de politique de sécurité de l’open source, 30 % reconnaissent volontiers que personne dans leur équipe n’est chargé de prendre en compte la sécurité de l’open source.

Le constat le plus important est peut-être que de nombreuses organisations ne comprennent toujours pas pleinement l’ampleur des vulnérabilités potentielles dans les packages open source et ne disposent pas des politiques nécessaires pour protéger efficacement leurs applications. L’utilisation de packages open source nécessite une nouvelle approche de la sécurité des développeurs, que de nombreuses organisations n’ont pas encore adoptée.

Ce rapport conjoint, une première du genre, révèle de nombreux signes d’une méconnaissance de la réalité actuelle de la sécurité de l’open source dans le secteur. Avec la Linux Foundation, nous comptons nous appuyer sur ces conclusions pour mieux informer et outiller les développeurs du monde entier, afin qu’ils puissent continuer à créer rapidement, tout en restant en sécurité.

L’utilisation des logiciels open source continuera sans aucun doute à augmenter. Connaître les risques liés aux packages open source et comprendre comment s’en protéger peut aider votre organisation à utiliser les technologies open source de manière efficace et sûre. Trouver les outils et les politiques les plus adaptés à la sécurité de l’open source est un excellent point de départ.

À propos de ce projet

Le rapport 2022 sur l’état de la sécurité de l’open source est le fruit d’un partenariat entre Snyk et The Linux Foundation, avec le soutien d’OpenSSF, de la Cloud Native Security Foundation, de la Continuous Delivery Foundation et de l’Eclipse Foundation. Le rapport s’appuie sur une enquête menée auprès de plus de 550 personnes au premier trimestre 2022 et sur les données de Snyk Open Source, qui a analysé plus de 1,3 milliard de projets open source.