自往年至今，对于千万开发者常用开源代码库的攻击呈指数级增长。
互联网犯罪分子看上开源软件包，尝试根据手机软件供应链推广恶意程序。安全性服务提供商Sonatype在2021年取得1.2万起网络安全问题，该公司的统计数据说明，这类所说的手机软件供应链攻击2022年提高了650%。正如这周Log4j系统漏洞所充分说明的，公司务必审慎处理开源代码了。
手机软件供应链攻击是啥?
开源软件包通常储存在在线代码库文件。波恩大学、Fraunhofer FKIE研究室和法国的SAP试验室的分析工作人员称，因为一些编码包普遍出现于各种各样使用中，这种代码库几乎等同于一种“靠谱的大范畴恶意程序推广方式”。
2021年对于开源软件的供应链攻击暴涨650%
图1：本年度手机软件供应链攻击数量
(来源于：2021年Sonatype《手机软件供应链情况报告书》)
Sonatype公布的《手机软件供应链情况》汇报中强调，手机软件供应链攻击关键有三种方式。最多见的二种类型是依靠搞混和错别字恶意抢注，这2种类型都在于一个客观事实：依靠管理工具等软件开发工具会在使用中自动下载并完成开源代码。
在依靠搞混攻击中，攻击者会建立有缺陷的软件包并标注升级的版本信息，那样就可以让软件开发工具全自动完成有缺陷的软件包了。这类方式是2021年最多见的手机软件供应链攻击种类。而在错别字恶意抢注攻击中，攻击者会为自己建立的软件包取一个跟时兴软件包十分相仿的名称(绝大部分情况下只有一个英文字母与之不一样)，期待开发者会敲错包户下错包。
恶意程序引入则是往开源软件库中加上新的编码，一切运作了该程序包的人都是会有没有中招。Sonatype表明，可能是因为开源代码库加强了本身安全防护，该类攻击2022年有一定的降低。
波恩大学的研究发现，Node.js(npm)和Python(PyPi)代码库是供应链攻击的具体总体目标，缘故可能是恶意程序在软件包安裝期内非常容易被开启。
开源软件安全性情况
Sonatype的汇报评定了普遍开源软件库中的系统漏洞总数。汇报发觉，Maven Central Java软件包代码库中出现系统漏洞的部件总数较多，超出35万只部件带有重要系统漏洞，攻击者可以很容易地使用这种系统漏洞得到root等级的管理权限。含系统漏洞部件的人数排第二位的是nmp JavaScript软件包代码库，在其中有25万只部件含有重要系统漏洞。
普遍开源代码库文件检验出重要系统漏洞
图2：各开源代码库文件存有系统漏洞的开源系统软件包部件数量
(蓝色代表最少存有一个已经知道系统漏洞的部件总数;红色代表存有重要系统漏洞的部件总数。)
Sonatype发觉，含有系统漏洞的软件包在代码库所容下的全部软件包中常占的占比并不算太大。例如，Maven Central代码库中仅4.9%的程序流程包括有重要系统漏洞。而在PyPi代码库中，这一占比也是小到仅0.4%。
即使如此，这种软件包的免费下载次数代表着，其所含系统漏洞可以迅速大范畴散布。2021年，JavaScript开发者的开源系统软件包免费下载总数为1.5万亿次，Python软件包的免费下载总数则是1270亿个。
2021年JavaScript开发者开源系统软件包免费下载总数达1.5万亿次
图3：各计算机语言的开源系统软件包免费下载总数(企业：10亿个)
Sonatype实行高级副总裁Matt Howard表明：“2022年的汇报再度反映了开源系统的双刃刀特性，开源系统既是数据自主创新的关键推动力，与此同时也是手机软件供应链攻击的诱惑总体目标。这一严峻的现实展示出了至关重要的职责和机会，即工程项目负责人务必接纳智能化自动化技术，那样它们才可以规范化最好开源系统经销商，与此同时选用最好版本号协助开发者维持第三方库升级。”
波恩大学的分析工作人员所上传的报告书强调，许多开源软件都引进了双要素身份认证体制，而且禁止使用了会自动安装附加软件包的脚本制作。她们写到，开源系统生态链理应营销推广选用这种对策。“虽然相关者的安全防范意识广泛有一定的升高，但这种解决之策理应尽量地进一步拉开，而且默认设置强制性执行，那样才可以避免开源软件供应链攻击。”
本月，Java运用开源系统日志专用工具Log4j中发觉的主要系统漏洞再度点爆了紧紧围绕开源软件安全性的探讨。权威专家称，Log4j由沒有酬劳的青年志愿者维护保养，普遍出现于很多运用中，完成这种运用的公司通常并不了解它的存有，造成公司很有可能需耗费数月時间才可以寻找并修补全部存有系统漏洞的案例。