The State of Trusted Open Source

L’état de l’open source de confiance : L’envers du décor

L’utilisation de logiciels open source par les entreprises modernes est vaste et complexe. Une analyse des tendances d’utilisation et des données de vulnérabilités révèle que si les projets les plus populaires sont bien connus, la majorité des risques de sécurité se concentrent dans des composants moins visibles. L’intelligence artificielle stimule l’adoption de langages comme Python, qui est en tête des images open source utilisées. Les réglementations, telles que FIPS, poussent également à l’adoption de versions sécurisées de logiciels, démontrant que la conformité est un moteur clé des décisions logicielles. La confiance dans l’open source repose sur la rapidité de correction des vulnérabilités, même dans les composants “longtail” moins visibles.

Points clés :

• L’IA façonne la pile technologique de base : Python est le langage le plus utilisé, alimentant la pile moderne de l’IA.
• L’essentiel de la production se trouve au-delà des projets populaires : Plus de la moitié de l’utilisation en production concerne des images moins connues (“longtail”).
• La popularité n’est pas synonyme de risque : 98% des vulnérabilités corrigées se trouvent en dehors des 20 projets les plus populaires.
• La conformité est un catalyseur d’action : Les exigences réglementaires et les cadres de conformité (FIPS, PCI DSS, SOC 2, etc.) influencent l’adoption de logiciels open source sécurisés.
• La confiance se construit sur la vitesse de remédiation : La correction rapide des vulnérabilités, en particulier les critiques, est essentielle.

Vulnérabilités :

• Le rapport ne détaille pas de CVE spécifiques avec leurs numéros, mais indique que la grande majorité des vulnérabilités corrigées (98%) se trouvent dans les images “longtail”, c’est-à-dire celles qui ne font pas partie des 20 projets les plus populaires.
• La majorité des CVE enregistrées sont de criticité moyenne, mais les urgences opérationnelles proviennent des CVE critiques et élevées.

Recommandations :

• Il est crucial d’assurer la sécurité et la vélocité des mises à jour de sécurité sur l’ensemble du portefeuille d’images utilisées, et pas seulement sur les plus populaires.
• Les organisations doivent gérer le risque accumulé dans les composants moins visibles de leur pile logicielle, où l’application des correctifs est plus complexe.
• L’adoption de solutions capables d’absorber la charge opérationnelle liée à la gestion des composants “longtail” est nécessaire pour maintenir la sécurité de la chaîne d’approvisionnement logicielle.

Source