Linux 基金會(huì)對(duì)自由和開源軟件(free and open-source software)(FOSS)社區(qū)進(jìn)行的一項(xiàng)新調(diào)查表明，貢獻(xiàn)者花在安全問題上的時(shí)間不到 3%，而且?guī)缀鯖]有增加這一比例的意愿。

[[357456]]

Linux 基金會(huì)和哈佛大學(xué)創(chuàng)新科學(xué)實(shí)驗(yàn)室(Laboratory for Innovation Science at Harvard)(LISH)根據(jù)近 1200 名 FOSS 貢獻(xiàn)者的回答所做的一份報(bào)告顯示，隨著企業(yè)和經(jīng)濟(jì)越來越依賴開源軟件，開發(fā)人員“明顯需要”將更多的時(shí)間用于 FOSS 項(xiàng)目的安全。

該調(diào)查包括了旨在幫助研究人員了解貢獻(xiàn)者如何分配他們?cè)?FOSS 上的時(shí)間的問題，該調(diào)查顯示，受訪者平均只花了其總貢獻(xiàn)時(shí)間的 2.27% 來應(yīng)對(duì)安全問題。

此外，這些問題的回答還表明，許多受訪者對(duì)增加安全方面的時(shí)間和精力興趣不大。一位受訪者評(píng)論說，他們“覺得安全是一件令人心力交瘁的苦差事，是一個(gè)最好留給律師和流程狂人的課題”，而另一位受訪者則說：“我發(fā)現(xiàn)安全是一個(gè)令人難以忍受的、無聊的流程障礙。”

研究人員得出結(jié)論，需要對(duì) FOSS 的安全和審計(jì)采取一種新的方法，以改善安全實(shí)踐，同時(shí)控制對(duì)貢獻(xiàn)者的負(fù)擔(dān)。

貢獻(xiàn)者需求最多的一些工具是錯(cuò)誤和安全修復(fù)、免費(fèi)的安全審計(jì)，以及將安全相關(guān)工具添加到其持續(xù)集成(CI)管道的簡化方法。

“顯然需要為 FOSS 的安全投入更多的精力，但這個(gè)負(fù)擔(dān)不應(yīng)該只落在貢獻(xiàn)者身上。”報(bào)告中寫道。“開發(fā)人員一般不想成為安全審計(jì)人員，他們希望得到審計(jì)結(jié)果。”

研究人員提出的其他解決方案包括：鼓勵(lì)組織將精力重新投入到識(shí)別和解決項(xiàng)目本身的安全問題上。另外，開發(fā)人員“可以重寫 FOSS 項(xiàng)目中容易出現(xiàn)漏洞的部分或整個(gè)組件”，而不是試圖修補(bǔ)現(xiàn)有代碼。

研究人員繼續(xù)說道，“提高重寫安全性的一種方法是將內(nèi)存不安全的語言(如 C 或 C++)轉(zhuǎn)換為內(nèi)存安全的語言(幾乎所有的其它語言)。……這將消除一整類漏洞，如緩沖區(qū)溢出和雙重釋放。”

性別多樣性 —— 或者說，缺乏多樣性 —— 是該報(bào)告的另一個(gè)關(guān)鍵發(fā)現(xiàn)。

在 1196 名調(diào)查對(duì)象中，91% 的人報(bào)告說是男性，年齡在 25 至 44 歲之間。研究人員指出，這一發(fā)現(xiàn)“強(qiáng)調(diào)了人們對(duì) FOSS 社區(qū)缺乏女性代表的持續(xù)關(guān)注。”并指出，報(bào)告中缺乏女性代表表明，結(jié)果“偏向于男性貢獻(xiàn)者的 FOSS 活動(dòng)，并不能完全代表女性對(duì) FOSS 的貢獻(xiàn)。”

調(diào)查的大多數(shù)受訪者來自北美或歐洲，大多數(shù)人從事全職工作。將近一半(48.7%)的人說，他們?cè)陂_放源碼貢獻(xiàn)上花費(fèi)的時(shí)間得到了雇主的報(bào)酬，而 44.02% 的人說，這是他們唯一得到報(bào)酬的途徑。

有趣的是，結(jié)果表明，COVID-19 大流行病對(duì)貢獻(xiàn)者的工作狀態(tài)影響不大，只有極少數(shù)受訪者報(bào)告說已脫離工作。研究人員再次指出，由于調(diào)查中缺乏女性代表，“這些調(diào)查結(jié)果可能并不能反映為 FOSS 做出貢獻(xiàn)的女性的經(jīng)歷，特別是那些在大流行期間受到家庭責(zé)任增加影響的女性。”

雖然絕大多數(shù)受訪者(74.8%)都是全職雇員，超過一半(51.6%)的受訪者是專門為開發(fā) FOSS 而接受報(bào)酬的，但在開發(fā)者為開源項(xiàng)目做出貢獻(xiàn)的動(dòng)機(jī)中，金錢的得分很低，“渴望得到同行的認(rèn)可”也是如此。

相反，開發(fā)者說他們純粹是對(duì)為他們正在開發(fā)的開源項(xiàng)目尋找功能、修復(fù)和解決方案感興趣。其他最主要的動(dòng)機(jī)包括享受和希望回饋他們所使用的 FOSS 項(xiàng)目。

“現(xiàn)代經(jīng)濟(jì) —— 無論是數(shù)字經(jīng)濟(jì)還是實(shí)體經(jīng)濟(jì) —— 越來越依賴于自由和開源軟件，”哈佛商學(xué)院(Harvard Business School)助理教授 Frank Nagle 說。

“了解 FOSS 貢獻(xiàn)者的動(dòng)機(jī)和行為是確保這一關(guān)鍵基礎(chǔ)設(shè)施未來安全和可持續(xù)性的關(guān)鍵一環(huán)。”