[转帖]开源代码有质量缺陷 每千行暴露一安全漏洞?
- command
- 帖子: 306
- 注册时间: 2007-10-14 0:50
- 来自: GUCAS
[转帖]开源代码有质量缺陷 每千行暴露一安全漏洞?
【CSDN】安全公司Department of Homeland Security公布的数据表明,开源代码大致每1000行就含有一个安全漏洞。
流行的开源项目比如Samba、PHP、Perl等通常跟Web站点的一些原理相关联,Amanda(使用最广发的开源备份和修复软件)运行在50万个服务器上,他们均含有许许多多的安全漏洞和质量缺陷。
以Samba为例,Samba总共有236处缺陷,而它的代码共45万行,因而缺陷数远低于平均率,而且Maxwell(开源代码检测系统的创立者)在采访中表示,其中228处缺陷已经得到了弥补。
Linux的也远远小于平均缺陷率,Linux kernel的2.6版本的安全bug率为每一千行代码0.127个。Coverity Web 网站公布的数据显示,检查了kernel 的3,639,322行代码,452个缺陷已被修复(fixed),48个被校验(verified)而未修复,另外413有待校验和修复。
Apache Web服务器包含135,916行代码,每一千行有0.14个bug。3个已修复,7个被校验,仍有12个有待修复和校验;PostgreSQL数据库系统包含909,148行代码,,每一千行有0.041个缺陷,53个bug已被修复,37个有待修复和校验。
对于代码中存在的缺陷和漏洞,有些开源项目“响应”迅速,有些则比较慢。比如FreeBSD 在修正方面的步伐慢了一些,在总共1,582,166代码中,只校验了六个缺陷,仍有605个有待校验和修复;Firebird项目被确认又195个缺陷,然而它未修复和校验任何一个;而Firefox 浏览器项目已经修补了370 bugs,校验了56个,另有246个有待修复和校验。
Free Software Foundation的glibc或者Gnu C Library已经修复了全部83个bug。Gnu C Library被许多Linux的开源开发者所使用,是很少的几个没有错误代码的开源项目之一,考虑到它有588,931行代码整个成绩就更不容易了。
Linux用户界面的情况是这样的:KDE包含4,712,273行代码,已修复1,554个缺陷,校验了25个另有65个有待修复和校验。Gnome有430,809行代码,已经修复了357个错误,校验了5个,仍有214个有待修复和校验。
Maxwell表示,开源项目与商业产品的不同之处在于,商业公司很少承认他们产品代码的安全问题,“如果我们为商业公司做这种调查,他们一定会非常不高兴。”
流行的开源项目比如Samba、PHP、Perl等通常跟Web站点的一些原理相关联,Amanda(使用最广发的开源备份和修复软件)运行在50万个服务器上,他们均含有许许多多的安全漏洞和质量缺陷。
以Samba为例,Samba总共有236处缺陷,而它的代码共45万行,因而缺陷数远低于平均率,而且Maxwell(开源代码检测系统的创立者)在采访中表示,其中228处缺陷已经得到了弥补。
Linux的也远远小于平均缺陷率,Linux kernel的2.6版本的安全bug率为每一千行代码0.127个。Coverity Web 网站公布的数据显示,检查了kernel 的3,639,322行代码,452个缺陷已被修复(fixed),48个被校验(verified)而未修复,另外413有待校验和修复。
Apache Web服务器包含135,916行代码,每一千行有0.14个bug。3个已修复,7个被校验,仍有12个有待修复和校验;PostgreSQL数据库系统包含909,148行代码,,每一千行有0.041个缺陷,53个bug已被修复,37个有待修复和校验。
对于代码中存在的缺陷和漏洞,有些开源项目“响应”迅速,有些则比较慢。比如FreeBSD 在修正方面的步伐慢了一些,在总共1,582,166代码中,只校验了六个缺陷,仍有605个有待校验和修复;Firebird项目被确认又195个缺陷,然而它未修复和校验任何一个;而Firefox 浏览器项目已经修补了370 bugs,校验了56个,另有246个有待修复和校验。
Free Software Foundation的glibc或者Gnu C Library已经修复了全部83个bug。Gnu C Library被许多Linux的开源开发者所使用,是很少的几个没有错误代码的开源项目之一,考虑到它有588,931行代码整个成绩就更不容易了。
Linux用户界面的情况是这样的:KDE包含4,712,273行代码,已修复1,554个缺陷,校验了25个另有65个有待修复和校验。Gnome有430,809行代码,已经修复了357个错误,校验了5个,仍有214个有待修复和校验。
Maxwell表示,开源项目与商业产品的不同之处在于,商业公司很少承认他们产品代码的安全问题,“如果我们为商业公司做这种调查,他们一定会非常不高兴。”
- hubert_star
- 论坛版主
- 帖子: 5373
- 注册时间: 2007-10-29 22:12
- 系统: OSX 10.9 + Ub 1304
- 来自: 江苏南京
结果出来一看,微软的每千行有500个错误,微软愤怒了,说:你们检测方法不对!
佛经说,人有八苦: 生、老、病、死、求不得、怨憎、爱别离、五阴盛 故我苦!
圣经说,人有七罪: 饕餮、贪婪、懒惰、淫欲、傲慢、嫉妒和暴怒 故我有罪!
我这篇帖子里面没有任何攻击我们伟大的中华人民共和国政府和任劳任怨的人民公仆(和本论坛高素质的版主)的文字和含义;
特此声明!
有些事,我们明知道是错的,也要去坚持,因为不甘心;有些人,我们明知道是爱的,也要去放弃,因为没结局;有时候,我们明知道没路了,却还在前行,因为习惯了。
欢迎来我的新浪微博@me
圣经说,人有七罪: 饕餮、贪婪、懒惰、淫欲、傲慢、嫉妒和暴怒 故我有罪!
我这篇帖子里面没有任何攻击我们伟大的中华人民共和国政府和任劳任怨的人民公仆(和本论坛高素质的版主)的文字和含义;
特此声明!
有些事,我们明知道是错的,也要去坚持,因为不甘心;有些人,我们明知道是爱的,也要去放弃,因为没结局;有时候,我们明知道没路了,却还在前行,因为习惯了。
欢迎来我的新浪微博@me
- hethe
- 帖子: 3666
- 注册时间: 2005-08-01 9:14
Re: [转帖]开源代码有质量缺陷 每千行暴露一安全漏洞?
command 写了:
Maxwell表示,开源项目与商业产品的不同之处在于,商业公司很少承认他们产品代码的安全问题,“如果我们为商业公司做这种调查,他们一定会非常不高兴。”
Gedanken ohne Inhalt sind leer .Anschauungen ohne Begriffe sind blind.
- yiding_he
- 帖子: 2677
- 注册时间: 2006-10-25 18:10
- 来自: 长沙
- 联系:
- hubert_star
- 论坛版主
- 帖子: 5373
- 注册时间: 2007-10-29 22:12
- 系统: OSX 10.9 + Ub 1304
- 来自: 江苏南京
但是常用的软件都是久经考验的
比如apache,开始的时候是有些bug,那是netscape的server可是风光无限,但是一个一个版本的升级上来,成为现在最稳固的系统之一。
关键就是模式,我用了,发现一个错误,提交了,解决了,问题就没有了。如果一个人变成500个人,事情就好办了。
而商业公司从运营角度这样显然不现实。
比如apache,开始的时候是有些bug,那是netscape的server可是风光无限,但是一个一个版本的升级上来,成为现在最稳固的系统之一。
关键就是模式,我用了,发现一个错误,提交了,解决了,问题就没有了。如果一个人变成500个人,事情就好办了。
而商业公司从运营角度这样显然不现实。
佛经说,人有八苦: 生、老、病、死、求不得、怨憎、爱别离、五阴盛 故我苦!
圣经说,人有七罪: 饕餮、贪婪、懒惰、淫欲、傲慢、嫉妒和暴怒 故我有罪!
我这篇帖子里面没有任何攻击我们伟大的中华人民共和国政府和任劳任怨的人民公仆(和本论坛高素质的版主)的文字和含义;
特此声明!
有些事,我们明知道是错的,也要去坚持,因为不甘心;有些人,我们明知道是爱的,也要去放弃,因为没结局;有时候,我们明知道没路了,却还在前行,因为习惯了。
欢迎来我的新浪微博@me
圣经说,人有七罪: 饕餮、贪婪、懒惰、淫欲、傲慢、嫉妒和暴怒 故我有罪!
我这篇帖子里面没有任何攻击我们伟大的中华人民共和国政府和任劳任怨的人民公仆(和本论坛高素质的版主)的文字和含义;
特此声明!
有些事,我们明知道是错的,也要去坚持,因为不甘心;有些人,我们明知道是爱的,也要去放弃,因为没结局;有时候,我们明知道没路了,却还在前行,因为习惯了。
欢迎来我的新浪微博@me
- greatgarlic
- 帖子: 1794
- 注册时间: 2007-07-11 12:31
- 来自: neverland
- 联系:
- yjsword
- 帖子: 524
- 注册时间: 2007-03-14 20:33
- 来自: 南京
- 联系:
-
- 帖子: 3
- 注册时间: 2008-02-18 17:58
- yiding_he
- 帖子: 2677
- 注册时间: 2006-10-25 18:10
- 来自: 长沙
- 联系:
-
- 帖子: 160
- 注册时间: 2008-02-12 14:39
Re: [转帖]开源代码有质量缺陷 每千行暴露一安全漏洞?
看来kde还是好一些吗!德国货不错command 写了: Linux用户界面的情况是这样的:KDE包含4,712,273行代码,已修复1,554个缺陷,校验了25个另有65个有待修复和校验。Gnome有430,809行代码,已经修复了357个错误,校验了5个,仍有214个有待修复和校验。