Enquête 2020 sur l’état de la sécurité de l’open source

Chez Snyk, la sécurité de l’open source est notre passion. Chaque année depuis 2017, Snyk publie son rapport annuel State of Open Source Security. Dans ce rapport, nous analysons les tendances actuelles en matière de sécurité de l’open source et la manière dont les organisations gèrent les vulnérabilités de leurs logiciels open source et de leurs technologies cloud natives. Dans le cadre de nos recherches, nous sollicitons la communauté afin qu’elle partage son point de vue dans notre enquête State of Open Source Security. Nous venons de lancer l’enquête 2020 et nous aimerions beaucoup connaître votre avis !

Vos réponses à cette enquête nous aident à mieux comprendre les difficultés rencontrées par notre communauté et orientent nos recherches. En les associant aux données recueillies et analysées sur nos plateformes et celles de nos partenaires, nous publierons une nouvelle fois ce rapport gratuit à destination de la communauté. Cette année, nous élargissons notre champ d’étude pour approfondir notre analyse des technologies cloud natives, notamment des conteneurs, des outils d’orchestration et de l’infrastructure as code.

La sécurité de l’open source en 2019

Dans notre rapport 2019, nous avons examiné en détail les tendances de différents écosystèmes de développement et leurs conséquences en matière de sécurité. Parmi les nombreux constats marquants issus de nos recherches, quelques points clés se sont particulièrement démarqués. Voici certaines des principales découvertes de 2019 que nous prévoyons de continuer à suivre dans notre rapport 2020.

Vulnérabilités connues

L’un des principaux éléments étudiés pour notre rapport 2019 était le nombre de vulnérabilités de sécurité signalées dans plusieurs écosystèmes. En examinant les bibliothèques applicatives de PyPi, Golang, npm, Maven Central et PHP Packagist, nous avons constaté qu’entre 2017 et 2018, les vulnérabilités avaient augmenté de près de 88 %. PHP, en particulier, a connu une forte accélération du nombre de vulnérabilités signalées en 2018.

Lorsque nous étudions les vulnérabilités, nous cherchons à comprendre non seulement leur nombre, mais aussi leur niveau de criticité. Entre 2017 et 2018, nous avons observé une tendance plutôt encourageante : la proportion de vulnérabilités de gravité élevée par rapport à celles de gravité moyenne a évolué en faveur de ces dernières, moins risquées.

Sécurité des conteneurs

Dans le cadre de notre rapport 2019, nous avons commencé à examiner certaines des principales tendances concernant les vulnérabilités des images de conteneurs. Nous avons étudié les vulnérabilités connues dans les bibliothèques système de certaines des images les plus populaires sur Docker Hub. Nous avons constaté que le nombre moyen de vulnérabilités était très élevé et que les bibliothèques Node.js incluses dans ces images étaient particulièrement vulnérables. Seul point positif : 44 % des vulnérabilités pouvaient être corrigées en remplaçant l’image de base par une version moins vulnérable.

Délai de correction

Pour comprendre l’état général de la sécurité de l’écosystème open source, il est également essentiel de savoir combien de temps les responsables de maintenance mettent à traiter les vulnérabilités signalées et à proposer un correctif. En examinant certains des packages les plus populaires de npm, nous avons constaté que le délai de correction allait de 289 jours à plus de 2 000 jours !

Nos projets pour le rapport 2020

Les conclusions de 2019 étaient très intéressantes et, dans certains cas, particulièrement révélatrices. Pour le rapport de cette année, nous voulons continuer à suivre les tendances de nombreux éléments clés étudiés dans le rapport 2019, tout en élargissant notre champ d’analyse. Notre enquête comporte davantage de questions visant à comprendre comment les organisations développent leur culture DevSecOps et gèrent la sécurité de leurs logiciels open source, conteneurs et outils d’orchestration.

Pour nos recherches fondées sur les données, nous approfondirons les enseignements du rapport 2019 afin de recueillir encore plus d’informations sur les vulnérabilités dans les différents écosystèmes. Nous analyserons les données plus en profondeur pour répondre à une question essentielle : la sécurité de l’open source s’améliore-t-elle ? Associées aux résultats de l’enquête, ces informations offriront une vision complète de l’écosystème open source et aideront les responsables de maintenance comme les organisations à mieux planifier leurs initiatives de sécurité.

Pour nous aider, répondez à l’enquête ici !