开源软件安全性研究

＼．开发研究与设计技术．．．．．．　本栏目责任编辑：谢媛嫒　开源软件安全性研究　孟祥宏　（呼伦贝尔学院信息科学分院，内蒙古海拉尔０２１００８）　

摘要：开源软件由于应用领域的日益广泛，其安全性也备受关注。本文从技术层面对开源软件的安全性进行了详尽的分析，并提出了　提高其安全性的方案。　关键词：软件；开源软件；网络安全　中图分类号：ＴＰ３１　文献标识码：Ａ　文章编号：１００９—３０４４（２００７）１１—２１３２２—０２　Ｔｈｅ　Ｒｅｓｅａｒｃｈ　ｏｆ　ｔｈｅ　Ｓｅｃｕｒｉｔｙ　ｏｆ　ｔｈｅ　０ｐｅｎ　Ｓｏｕｒｃｅ　ＭＥＮＧＸＪ；ｍｇ。。ｈｏｎｇ　ｆＴｈｅ　Ｓｃｈｏｏｌ　ｏｆ　Ｉｎｆｏｒｍａｔｉｏｎ　Ｓｃｉｅｎｃｅ，Ｈｕｌｕｎｂｕｉｒ　ＣｏＵｅｇｅ，Ｈａｉｌａｅｒ　０２１００８，Ｃｈｉｎａ）　’ＡｂｓｔｒａＣｔ：Ｔｈｅ　ｓｅｃｕｒｉｔｙ　ｏｆ　ｔｈｅ　ｏｐｅｎ　ｓｏｕｒｃｅ　ｉｓ　ｍｏｒｅ　ｐａｉｄ　ａ￣ｅｎｄｏｎ　ｔｏ，ｂｅｃａｕｓｅ　ｔｈｅ　ｏｐｅｎ　ｓｏｕｒｃｅ　ｉｓ　ｍｏｒｅ　ｗｉｄｅｌｙ　ｕｓｅｄ　ｂｙ　ｍａｎｙ　ｆｉｅｌｄｓ．Ｔｈｅ　ｐａｐｅｒ　ａｎａｌｙｚｅｓ　ｔｈｅ　ｏｐｅｎ　ＳＯＵｒｃｅ　ｆｒｏｍ　ｔｈｅ　ｔｅｃｈｎｏｌｏｇｙ　ａｓｐｅｃｔ　ｉｎ　ｄｅｔａｉｌ，ａｎｄ　ｓｅｔｓ　ｆｏｒｔｈ　ｔｈｅ　ｗａｙ　ｔｏ　ｅｎｈａｎｃｅ　ｔｈｅ　ＳｅＣＬｌｒｉｔｙ　ｏｆｔｈｅ　ｏｐｅｎ　ｓｏｕＦｃｅ．　，　Ｋｅｙ　ｗｏｒｄｓ：ｓｏｆｔｗａｒｅ；Ｏｐｅｎ　Ｓｏｕｒｃｅ；ｎｅｔｗｏｒｋ　ｓｅｃｕｒｉｔｙ　

１引言　开源软件ＯＳＳ（Ｏｐｅｎ　Ｓｏｕｒｃｅ　Ｓｏｆｔｗａｒｅ）已成为最近几年ＩＴ业　关注的热点。现在。无论是操作系统、数据库还是中间件，都有开　源软件的身影。开源软件已给软件产业带来巨大的变化。以Ｌｉｎｕｘ　『ｌ１为例，它不仅改变了软件的生产方式，也改变了软件传统的商　业模式：在全世界开源社区和各大主要厂商的努力之下，Ｌｉｎｕｘ已　经打破了微软Ｗｉｎｄｏｗｓ操作系统一统天下的局面，Ｌｉｎｕｘ服务器　的市场份额从五年前的零。高速发展到今天的１２％［２１。　出于安全、战略等方面的考虑．自１９９９年以来，我国也从政　策和规划方面来支持推广和使用开源软件，《政府采购法》中就明　确了政府支持国产软件的政策导向，通过政府采购等手段支持　Ｌｉｎｕｘ的推广应用：而“十五”规划中也加大了对包括Ｌｉｎｕｘ操作系　统及其应用软件在内的开源软件技术研发的支持。同时，政府部　门在自身的信息化上也率先应用开源软件，这在很大程度上加快　了开源软件全世界范围内的应用。　对于开源软件与闭源软件谁更安全的话题争论了很久，这是　

一个仁者见仁、智者见智的话题。闭源（Ｃｌｏｓｅｄ　Ｓｏｕｒｃｅ）软件由于其　高投入的研发资金、专业的研发队伍，以及越来越高质的售后队　伍。本身就是对软件安全性的有力保证；开源软件信奉“多目”的　安全理念．认为任何开源产品一经发布就会受到无数双眼睛的审　视，其不断推广的过程也是不断修改完善的过程。安全问题将是　开源与闭源软件共同面临的问题。在本文中，我们主要从技术的　层面来讨论开源软件的安全问题。　２开源软件ＶＳ闭源软件　２．１隐藏ＶＳ公开　尽管公开与隐藏并不是软件安全的唯一决定性特征，但它对　于认识研究开源软以及分析两种截然不同的软件开发方法的安　全特征具有重要作用。　闭源软件通过封闭源代码，降低入侵者获得软件系统源码机　会的方式，提高系统的安全性。即认为“不公开即安全”。而与此相　反，开源软件采用开放源代码的方式，即认为“透明即安全”。　“封闭”源代码并不一定安全。从思维方式到实际方法，逆向　的推翻和正向的证明是两码事，要发现缓冲区溢出、协议打包方　式，完全可以靠实验的方法，而根本不需要源代码。事实上，用眼　睛分析源代码查找缺陷、进行分类并进一步创建缺陷是一项艰苦　卓绝的工作。如果真的说由于源代码的透明性，开源软件更容易　遭受攻击．那么微软公司以外的人就不可能发现任何ＩＥ的缺陷。　源代码对这些攻击者的意义只是可以用来解释这些漏洞，但他们　

大都不需要解释，而只要求发生现象即达到目的。很多系统被攻　击都是通过字典、穷举这些简单方法猜出管理员口令来实现的。　近年来，黑客们一直在利用“黑盒分析”而受益，现在甚至还有一　些工具自动进行“黑盒”分析，考虑到任何可以运行的代码都可以　被解开．因此我们就能得出封闭代码并不能达到有效安全性的目　的。　从密码学的基本原理来看，系统的安全性应当完全来自算法　选择、协议设计等内在机制。安全性应当依赖于像密码或密钥这　样些比较精简且容易改变的要素的保密，而不应依赖于攻击者的　无知。　，　早在ｌ９世纪荷兰人，Ａ　Ｋｅｒｅｋｈｏｆｓ［３］就阐明了密码分析的一　个基本假设．即秘密必须全部寓于密钥之中。如果一个体系的安　全强度依赖于攻击者不知道算法的内部机理，则这个系统注定是　失败的。著名密码学家Ｂｒａｃｅ　Ｓｃｈｎｅｉｅｒ［４］认为聪明的设计者应当　“对任何有关安全的东西都要求公开源码”，以确保它受到普遍的　审核，而且任何找到的问题都已得到修正。从这个角度看，开源软　件的安全性更加可靠、公开的程序代码将保证安全性得到厂泛　的、公开的、详细的检验。　２．２普及应用ＶＳ局部应用　具有较高普及应用的闭源系统（如Ｗｉｎｄｏｗｓ）是否就是树大招　风．而目前仅为政府、军事部门等局部应用的开源系统的安全就　无黑客惦记呢？　确实．微软公司的Ｗｉｎｄｏｗｓ桌面操作系统和ＩＥ的普及性常　被用来解释缺陷发生率以及破坏发生率。很多人认为更高的普及　率无疑可能招惹恶意代码编写者和其他不速之客的注意，但是我　们认为，如果采用全新的以代码公开的开发方式，情况就会有所　改观。　德国人Ｅｒｉｅ　Ｓ．Ｒａｙｍｏｎｄ［５］著名的“多目”理论认为，如果一个　操作系统或应用软件的源代码能被越多的用户共享，那么这个系　统或应用软件的安全性就越高。原因很简单，由于开源代码的源　代码是公开的，任何人都可以对代码进行完善和补充，这种集思　广益的方法可以发现更多的漏洞和潜在威胁，并适时进行弥补。　而开源软件的用户必须依靠产品生产商才能对操作系统或应用　软件进行修改完善，从而桎梏了非开源软件的发展速度，影响了　系统安全性的迅速提升。　世界著名的网络安全公司Ｓｙｍａｎｔｅｅ［６］调查显示，Ｒｅｄ　Ｈａｔ公　司从发现Ｒｅｄ　Ｈａｔ　Ｌｉｎｕｘ系统漏洞到修改的平均时间是ｌ３天；微　软公司的Ｗｉｎｄｏｗｓ从发现系统漏洞到修改的平均时间是２ｌ天：　

收稿日期：２００７－０５－０４　作者简介：孟祥宏（１９７１－），男，内蒙古赤峰人，计算机副教授，中国人民大学信息资源管理学院２００６级电子政务方向博－１－生，研究方向：网络　安全，电子政务，流媒体技术。　

１３２２　电－知识与技术　

维普资讯 http://www.cqvip.com 本栏目责任编辑：谢媛媛　・・・・・・开发研究与设计技术・　Ａｐｐｌｅ公司的Ｍａｃ　０Ｓ　Ｘ从发现系统漏洞到修改的平均时间是３７　天。　２．３闭源后门ＶＳ开源后门　后门是程序中人为的安全隐患。在开源代码中比闭源代码更　容易放置后门，这在理论上是成立的，但代码本身就意味着作者　的个人名誉，谁愿意冒险在开放的代码中放置后门而丧失个人名　誉和声望呢？况且开放源码软件使用代码控制系统来管理代码树　并且有许多人在测试、检查和分析代码，这使得放置后门变得更　加困难。　反之，人们无法判断封闭软件中是否存在后门，这不由得令　人担忧。例如，ＤＥＳ对称加密算法曾作为ＡＮＳＩ的数据加密算法而　成为标准。尽管该算法的内部机制完全公开，然而在其作为加密　标准推出时，还是有许多密码学者对于开发者之一ＮＳＡ（美国国　家安全局）在开发该算法时“看不见的手”很警惕。他们担心ＮＳＡ　修改算法、安装后门，抱怨ＮＳＡ将密码长度从原来的１２８位减少　到５６位，并对算法的内部操作产生质疑。运算机制公开的加密算　法尚存在这样的问题，那么代码封闭的软件更无法回避可能存在　的后门问题。　３开源软件的安全性分析　３．１开源软件的优势　３．１．１开源有助于改善代码质量，提高项目管理水平　在典型的闭源开发项目中，开发者的个人责任和职业名誉是　相对有限的，更重要的是，因为源码是封闭的，错误或失误可能会　被开发者忽略或悄悄地掩盖过去：相反，开源软件由于在“众多眼　球”的监督下，开发者写的每一行代码都体现着自己的声望和名　誉；另外，这种方式还有助于督促开发团队提高项目管理水平；再　者．开放源码的机制是通过独立的同行评审（ｐｅｅｒ　ｒｅｖｉｅｗ）和源码的　快速演变来提高软件的可靠性和质量的。　３．１．２开源有助于促进安全代码开发技术　开源的编程者经常会就开发中遇到的问题交换想法和解决　办法，他们乐于创新并实践有关代码安全的新理论。如果某个技　术被发现有缺点，就会出现新的技术替代。它随着旧的安全性较　差的代码逐渐被修正．新代码的安全性逐渐得到改善；而在闭源　系统中软件的安全性可能会让步于商业利益。开发者们可能因为　任务时间紧或是编程习惯等因素，而不重视采纳或创造新的安全　代码开发技术。　３．１－３开源后将具有更好的扩展性　虽然ＯＳＩ要求用户将修改后的软件按原软件同样的许可证　条款发布．但事实上，如果修改后的软件不用于产品发布和商业　运作，仅供自己使用的话，则可以不公开它的源码。这样做的好处　是：一方面，软件内部的具体实现细节将被隐藏起来，给攻击者带　来困难：另一方面，软件开发者能够对软件进行具体而全面的配　置，以使它满足用户特定的安全要求。　３．１．４开源软件具有较好的安全等级　因为其安全等级对于最终的用户完全透明，用户可以确定该　软件是否能真正满足需要，而封闭代码软件的最终用户却难以评　估整个系统的安全等级。它本身的安全等级只能通过测试来间接　体现。由于实际的网络系统是复杂多变的，有限的测试将难以保　证一个系统能够应对所有可能面临的情况。而设计的错误、编码　的疏忽、测试的不足都会隐藏在软件中，没有人知道这些定时炸　弹什么时候将被引爆。　３．２开源软件存在的问题　３．２．１开源软件的检查机制难以严格执行　虽说原则上任何人都可以检查所有的软件代码，但实际上，　精力和能力限制了人们的检查，经过专业安全检查的软件只是少　数。因为大多数程序员查看源代码是出于他们自己的利益，而不　是出于无私的动机。他们常常无暇检查与工作无关的代码。例如　『７１，Ｌｉｎｕｘ下ＧＮＵ邮件列表管理程序Ｍａｉｌｍａｎ的程序设计者Ｊｏｈｎ　Ｖｉｅｇａ透露．尽管Ｍａｉｌｍａｎ一直有几个明显的安全性代码问题，但　是至今没人捕捉或报告这些错误。Ｖｉｅｇａ说，显然，每个使用　Ｍａｉｌｍａｎ的人都假设别人已经对Ｍａｉｌｍａｎ进行了正确的安全性审　查，而事实上是根本没有人这样做过ｄ　３．２．２检查者的技能并不总是很高　我们无法期待代码检查者的技能会高过代码编写者。实际中　大多数错误都是在程序已经编译、测试并分发后才被发现，在实　际使用中才暴露出来的。开放源码的程序通常依赖于用户报告和　公共论坛来发现弱点，而不是派人提前坐下来查看代码的漏洞。　３．２．３缺乏专业安全测试　参加过软件开发的程序员都清楚，最挑剔的眼睛也不可能发现　一个大型软件中的所有问题。软件的安全性必须通过大量的实际测　试来体现。没有实际测试的安全系统将永远隐藏着安全漏洞。　３．２．４软件维护成难题　如果用户将源代码修改后进行了商业应用，一旦原来的软件　进行了升级，并且没有包含自己修改并提交给社区的功能，此时　要不要跟着升级？若升级，则自己辛苦修改的成果就必须要重新　修改；若不升级，新版可能有许多新功能非常吸引人，并且旧版可　能存在着安全问题。软件商鉴于人力物力的因素，一般在发布新　版后就会停止对旧版的维护和支持。这样的话，用户每修改一次　就会陷人上述的两难境地。　３．２．５系统的安全性依赖于系统的具体实现　从理论上讲，系统的安全性应该仅仅依赖少数短小的秘密信　息，如密钥、口令、用户ＰＩＮ值等，而不应依赖于具体系统。但在计　算机中实现时，由于受到电脑计算资源和运行规律的束缚，事实　上不可能完美的实现算法的所有细节。在设计安全系统时我们总　是假设可以产生完全意义上的随机数，可以保持某些数值存在而　不被公开，可以存储运算足够长的数等等。但实际上，计算机至今　还没有能力产生那样的随机数．计算机上的数据总是存储在内存　或者硬盘中，计算机的字长限制了存储运算的数字的长度。　４提高开源软件安全性策略　以上对开源软件的安全做了详细的讨论，那么如何才能最大　程度上保证软件的安全性呢．或者如何才能尽快地发现软件中的　问题．并把问题解决掉呢？　４．１提供完整的开源软件文档　完整的开发文档是软件维护与升级重要的基础，开源软件由　于本身开发的机制，容易产生文档资料不全的问题，应从以下几　方面提高：　ｆ１）提高开发人员的专业化水平：　（２）完善开源网站中在线（离线）文档的建设，建好Ｗｉｋｉ系统；　ｆ３１做好开源软件的汉化工作和英文文档的翻译工作　４．２对开源系统进行全方位的安全测试　测试作为软件发布前重要的一步工作，肩负着软件的可用性　和安全性等诸多任务，所以也决定着软件的质量，这是一个非常　关键的指标。测试可在软件公司内部进行，还可把测试工作外包　给专业的第三方测试公司（如大学、研究所和商业公司）。　目前．对开源系统安全进行测试的工具软件有两种，一种是　Ｓｅｃｕｒｅ　ｓｏｆｔｗａｒｅ开发的Ｃｏｄｅ　Ａｓｓｕｒｅ工具，另一种是Ｏｕｎｃｅ　Ｌａｂｓ开　发的Ｐｒｅｘｉｓ工具。这两种工具能对大型应用软件进行分析，并能　找出各种可能导致非法人侵的安全隐患。这些安检工具在对目标　程序进行检测后会生成详细的漏洞报告，同时也可以指导用户如　何对这些漏洞采取防范措施。　４－３软件升级需主动及时　软件的升级一般有两层意思：一层是功能上的增加和提升：另