Skip to main content

Nova pesquisa da Snyk e da The Linux Foundation revela sérias preocupações de segurança decorrentes da ubiquidade do software de código aberto

feature state of open source security

21 de junho de 2022

The State of Open Source Security revela que muitas organizações não têm estratégias para lidar com vulnerabilidades em aplicações decorrentes da reutilização de código

BOSTON — 21 de junho de 2022 — Snyk, referência em segurança para desenvolvedores, e a The Linux Foundation, organização global sem fins lucrativos que promove a inovação por meio do código aberto, anunciaram hoje os resultados de seu primeiro relatório de pesquisa conjunto, The State of Open Source Security.

Os resultados detalham os riscos significativos de segurança decorrentes do uso generalizado de software de código aberto no desenvolvimento de aplicações modernas e mostram que muitas organizações ainda não estão preparadas para gerenciar esses riscos com eficácia. Especificamente, o relatório constatou que:

  • Mais de quatro em cada dez organizações (41%) não têm muita confiança na segurança de seus softwares de código aberto;

  • Em média, cada projeto de desenvolvimento de aplicações tem 49 vulnerabilidades e 80 dependências diretas (código-fonte aberto utilizado pelo projeto); e

  • O tempo necessário para corrigir vulnerabilidades em projetos de código aberto vem aumentando continuamente: mais que dobrou, passando de 49 dias em 2018 para 110 dias em 2021.

Capa do relatório da Snyk intitulado “State of Open Source Security 2022”, com uma ilustração colorida de uma nuvem dividida e os logotipos da Linux Foundation Research e da Snyk

“Hoje, os desenvolvedores de software têm suas próprias cadeias de suprimentos: em vez de montar peças de carros, eles montam código, combinando componentes de código aberto existentes com código próprio. Embora isso aumente a produtividade e a inovação, também gera sérias preocupações de segurança”, afirmou Matt Jarvis, diretor de relações com desenvolvedores da Snyk. “Este relatório inédito encontrou evidências generalizadas de que o setor ainda tem uma visão ingênua sobre o estado atual da segurança do código aberto. Em parceria com a The Linux Foundation, pretendemos aproveitar essas descobertas para capacitar e informar ainda mais os desenvolvedores do mundo todo, ajudando-os a continuar criando com rapidez e segurança.”

“Embora o software de código aberto sem dúvida torne os desenvolvedores mais eficientes e acelere a inovação, a forma como as aplicações modernas são montadas também dificulta sua proteção”, afirmou Brian Behlendorf, gerente geral da Open Source Security Foundation (OpenSSF). “Esta pesquisa mostra claramente que o risco é real e que o setor precisa trabalhar ainda mais em conjunto para deixar para trás práticas deficientes de segurança do código aberto e da cadeia de suprimentos de software.”

A Snyk e a The Linux Foundation apresentarão as principais conclusões do relatório e as ações recomendadas para melhorar a segurança do desenvolvimento de software de código aberto em vários eventos futuros:

41% das organizações não têm muita confiança na segurança de softwares de código aberto

As equipes de desenvolvimento de aplicações modernas usam código de diversas fontes. Elas reutilizam código de outras aplicações que criaram e pesquisam repositórios para encontrar componentes de código aberto com as funcionalidades de que precisam. O uso de código aberto exige uma nova forma de pensar sobre segurança para desenvolvedores, que muitas organizações ainda não adotaram.

Vale considerar também que:

  • Menos da metade das organizações (49%) tem uma política de segurança para o desenvolvimento ou o uso de software de código aberto (OSS); entre empresas de médio e grande porte, esse índice é de apenas 27%; e

  • Três em cada dez organizações (30%) sem uma política de segurança para código aberto reconhecem abertamente que ninguém da equipe está trabalhando diretamente para proteger esse código.

Projeto médio de desenvolvimento de aplicações: 49 vulnerabilidades em 80 dependências diretas

Quando os desenvolvedores incorporam um componente de código aberto às aplicações, passam imediatamente a depender dele e ficam expostos a riscos caso o componente tenha vulnerabilidades. O relatório mostra que esse risco é concreto: foram encontradas dezenas de vulnerabilidades em muitas dependências diretas de cada aplicação avaliada.

O risco também aumenta com as dependências indiretas, ou transitivas, que são as dependências das suas dependências. Muitos desenvolvedores nem sequer sabem que elas existem, o que torna ainda mais difícil rastreá-las e protegê-las.

Ainda assim, em alguma medida, os participantes da pesquisa estão cientes da complexidade de segurança que o código aberto traz para a cadeia de suprimentos de software:

  • Mais de um quarto dos participantes da pesquisa disseram estar preocupados com o impacto das dependências diretas na segurança;

  • Apenas 18% dos participantes disseram confiar nos controles implementados para suas dependências transitivas; e

  • Quarenta por cento de todas as vulnerabilidades foram encontradas em dependências transitivas.

Tempo para corrigir: mais que dobrou, de 49 dias em 2018 para 110 dias em 2021

À medida que o desenvolvimento de aplicações se tornou mais complexo, os desafios de segurança enfrentados pelas equipes de desenvolvimento também aumentaram. Embora o código aberto torne o desenvolvimento mais eficiente, seu uso aumenta o trabalho necessário para corrigir problemas. O relatório constatou que corrigir vulnerabilidades em projetos de código aberto leva quase 20% mais tempo (18,75%) do que em projetos proprietários.

Sobre o relatório

The State of Open Source Security é uma iniciativa conjunta da Snyk e da The Linux Foundation, com o apoio da OpenSSF, da Cloud Native Security Foundation, da Continuous Delivery Foundation e da Eclipse Foundation. O relatório se baseia em uma pesquisa com mais de 550 participantes realizada no primeiro trimestre de 2022 e em dados do Snyk Open Source, que já analisou mais de 1,3 bilhão de projetos de código aberto.

Sobre a Snyk

A Snyk é referência em segurança para desenvolvedores. Capacitamos desenvolvedores do mundo todo a criar aplicações seguras e ajudamos as equipes de segurança a atender às demandas do mundo digital. Nossa abordagem que prioriza os desenvolvedores permite que as organizações protejam todos os componentes essenciais de suas aplicações, do código à nuvem, contribuindo para aumentar a produtividade dos desenvolvedores, a receita e a satisfação dos clientes, reduzir custos e melhorar a postura geral de segurança. A Developer Security Platform da Snyk se integra automaticamente ao fluxo de trabalho dos desenvolvedores e foi criada para que as equipes de segurança colaborem com as equipes de desenvolvimento. Mais de 1.500 clientes em todo o mundo usam a Snyk, incluindo empresas de destaque como Asurion, Google, Intuit, MongoDB, New Relic, Revolut e Salesforce.

Sobre a The Linux Foundation

A The Linux Foundation é a organização escolhida pelos principais desenvolvedores e empresas do mundo para criar ecossistemas que aceleram o desenvolvimento de tecnologias abertas e sua adoção comercial. Em conjunto com a comunidade global de código aberto, ela resolve os desafios tecnológicos mais complexos, criando o maior investimento compartilhado em tecnologia da história. Fundada em 2000, a The Linux Foundation oferece ferramentas, treinamentos e eventos para expandir qualquer projeto de código aberto. Juntos, esses recursos geram um impacto econômico que nenhuma empresa conseguiria alcançar sozinha. Saiba mais em www.linuxfoundation.org.