本文为万向区块链技术中心负责人沈育敏在“2021云上中国国际软件产品和信息服务交易博览会：全球开源大会技术分论坛-安全与可信专题论坛”上的演讲内容。沈育敏从国内外开源现状讲起，分析了开源技术面临的风险和治理，以及区块链在开源安全和可信治理中的应用，最后以万向区块链底层开源平台“万纳链”为例，进一步解析了区块链在开源技术中的应用。注：本文在原文基础上略有删减大家好！我是万向区块链技术中心负责人沈育敏。今天很荣幸受邀和大家一起聊聊“开源的安全可信治理与区块链”。我的演讲主要分为以下五部分：第一，开源现状；第二，面临的风险；第三，安全和可信治理；第四，开源与区块链；第五，万纳链。
一、开源现状及开源在中国的现状
开源软件从上世纪末开始兴起，大家最初使用开源软件的理由主要是因为其无需成本，以及能够帮助项目快速交付。但随着时间的推移，大家的关注点从早期的快速交付，逐渐转变为开源软件的可靠性。而如今，大家更加关注开源软件的安全与可信。
随着计算机技术的发展，尤其是互联网企业的兴起，开源软件在操作系统、编译工具、数据库、服务器、中间件等各方面已经成为了主流。据Gartner调研显示，99%的组织在IT系统中依赖于开源软件，因为其开发模式、理念与精神、社区文化吸引了一大批开源贡献者。当然，目前开源贡献者绝大部分还是靠爱发电。大家愿意主动贡献的原因，除了对开源理念与精神的认可，也有开源能帮助程序员、技术人员提高项目质量的因素。
中央美院等联合发起的数字藏品平台将于4月初上线:金色财经报道，由民政部旗下中国软件行业协会区块链分会与数字经济发展协会共同孵化，联合中央美院、北京798艺术中心共同发起的数字藏品商城平台——智元艺术藏品平台将于4月初上线。
智元艺术藏品平台背靠中央美院，这也是艺术高校首次次深度涉足数字藏品平台型业务。这意味着数字藏品赛道又将多一位玩家。
智元艺术藏品平台将于4月初上线，上线之前开始向广大数字藏品爱好者，招募1000名智元数藏志愿者。这批用户也会获得一定特殊权益，和未来和业务的联动。（财联社）[2022/3/18 14:04:34]
首先，项目开源后不仅可以获得社区其他成员的贡献，对技术人员来说，开源项目也是非常好的展现以及推销自身技术的窗口。开源相对于闭源来说，最大的区别在于公开、透明。开源软件中一些Bug的发现、修复，以及新功能的提出都可以在公开的论坛中进行，对使用者来说，所有的这一切都是可溯源的，也可以做到心中有数，能够更加放心地使用。此外，开源软件的代码质量往往会较好，开发人员对于要公之于众的代码，显然会更加注重代码的可读性、可维护性等一些引擎项。不仅如此，社区成员对代码检查之后的评论、建议、贡献也能够为代码质量的提高带来显著的帮助。
币安从巴林中央银行获得加密资产服务提供商许可证:3月15日消息，区块链和加密货币基础设施提供商币安（Binance）周一宣布，已获得巴林中央银行（CBB）颁发的加密资产服务提供商许可证。该许可证允许币安在该国运营，为巴林客户提供加密货币交易、托管和投资组合管理等服务。该许可证是币安在中东/北非（MENA）地区的第一个许可证。此外，据消息人士称，交易平台币安获得迪拜当局关于加密货币的许可证。（金十）[2022/3/15 13:56:44]
开源软件的好处多多，除了透明、高质量外，免费、定制性、自由等等也是开源软件的好处。正是因为有这些好处，使用开源软件的公司在逐年递增，吸引了越来越多的开发者。近些年，全球开源贡献者的数量持续增加，2020年GitHub平台有5600万贡献者，相较于2019年增长了1600万。
接下来，聊聊开源当前在中国的现状。2020年，GitHub上美国贡献者数量位居第一，其次就是中国的贡献者，占到了14%，而且中国贡献者逐年增长的速度是最快的，尤其是从2016年开始，基本上呈现了指数级的增长。据调研数据显示，国内开发者对于开源的理解日趋成熟，70%的开发者认为开源吸引开发者的原因主要是在于其公开、透明的代码，还有就是知识共享、开源的理念与精神。GitHub预测，到2030年中国开发者将成为全球最大的开源群体。
声音 | 中央财经大学刘权：传统媒体不是区块链信息服务监管对象:国家互联网信息办公室今日发布《区块链信息服务管理规定》，其中表示，区块链信息服务提供者应当在提供服务之日起十个工作日内通过国家互联网信息办公室区块链信息服务备案管理系统填报备案信息。就《规定》中提到的“区块链信息服务提供者”的范围界定是否包括传统区块链媒体，金色财经采访了中央财经大学数字经济与法治研究中心执行主任刘权，他表示：“应该不包括传统媒体，因为该规定的制定目的主要是为了规范滥用区块链技术违法从事数字代币发行、非法集资、等活动。[2019/1/10]
2020年，中国已经使用开源技术的企业占比达到了近九成，阿里、百度、京东、PingCAP的项目在GitHub的中国项目活跃度Top20的榜单中都非常亮眼。阿里巴巴的数据在多项指标上的表现都非常不错，有些指标甚至是其他指标之和，并且阿里在社区、文化、开放等方面也做得很好，大家日常开发工作中所用到的Notify、RocketMQ等中间件都是阿里的开源项目。
可以看出，各大互联网企业近年来均在不断加大开源社区的生态建设。同时，增加开源的影响力，对于企业的招聘也会产生一些显著的助力。
二、开源软件的风险
声音 | 万向区块链杜宇：“2021年可能迎来区块链大规模应用爆发”:万向区块链副总经理杜宇11月19日在第十四届亚洲金融年会上表示，区块链作为一种开源技术其实技术壁垒并不高。区块链不仅是一种技术，更是新思维方式，把新理念、新商业模式和实际产业相结合是最重要的。从技术角度来说，区块链技术诞生也有十多年时间了，还是属于很早期的阶段；从商业的角度来说，大部分区块链的应用场景还属于增量式创新，把区块链作为一种工具来降本增效，但并没有真正改变现有的商业模式。
杜宇还表示，“现在在市面上看到很多的应用场景，或许可能并不需要区块链。总的来说，离区块链大规模的商业应用还需要一段时间，技术、商业，都没有准备好。但国家层面的重视会加速这个进程，拐点会更快到来。我个人感觉可能会在2021年会真正迎来一波区块链大规模应用的爆发。（21财经）[2019/11/21]
就像硬币有着两面，任何事物都有两面性，开源有着诸多好处。随着各领域使用开源技术的企业逐步增长，开源的劣势逐渐在闪现出来。
开源项目技术迭代快，运维成本高。数量宏大，使用很多开源依赖后统筹管理比较困难。安全漏洞威胁。开源许可证和知识产权问题。可能存在大修改许可或收费问题。尤其是近年来，开源软件的安全漏洞风险越来越显著。2020年，热门的开源项目中含有至少一个漏洞的项目占到了84%，比2019年增长了9个百分点。含有高危漏洞的项目甚至占到了60%，比2019年增长了11个百分点。通过扫描数以百万计的GitHub代码库以及程序包，对其中500个开源项目的维护者进行调研后发现，只有8%的开源项目维护者自认为有比较高的信息安全技术和意识，另外有近半数的开源项目维护者不太做代码的审计，只有10%的维护者能够做到每个季度审核代码。此外，开源软件漏洞从发现到公布，再到修复的周期非常久。漏洞从公布到被修复的最长时间为94天，平均时间也有16天。
声音 | 万向区块链董事长肖风：稳定币技术将在未来一年迅猛发展:万向区块链董事长兼总经理肖风在上海第四届全球区块链峰会上表示，稳定币技术在未来一年将会迅猛发展。纽约州金融管理部批准了纽约州的两家企业发行美元做抵押的稳定数字货币。
他还指出，如果未来哪个国家的央行准许了发行法币抵押的稳定数字货币，数字货币作为价值尺度、价值存储、支付工具等问题可以得到解决。反之如果区块链应用没有好的支付工具，就无法大规模推广，也无法被很多人接受。[2018/9/13]
美国近十年来最严重的一次数据泄露，是1.4亿多位美国征信巨头Equifax消费者的敏感数据被黑客所窃取，而这一数字占到美国人口的近一半。这起事件的源头是因为Equifax使用的软件中，有依赖于Struts框架的软件。Struts框架是开源的MVC框架，该框架中存在着安全缺陷，该安全缺陷被黑客首先发现并利用这一安全缺陷盗取了数据。由此可以看出，开源软件公开的代码能够获得更多贡献者帮助的同时，对于黑客来说，也是一个非常好的机会。
近期，在我们身边也发生了非常严重的开源软件安全问题。12月，LOG4J被爆出了安全漏洞，该安全漏洞不需要用户执行多余操作即可被触发，漏洞可以帮助攻击者远程控制受害者的服务器，当今90%以上的JAVA开发应用平台都会受到影响。这个漏洞涉及的范围及危害程度堪比2017年的“永恒之蓝”漏洞。我相信大部分的技术公司可能在12月份都会抽出精力做这一漏洞的修复和弥补。
开源软件风险防范共有四项：系统信息的泄露、密码管理、资源注入和安全缺陷。其中，安全缺陷是最重要的一部分。之所以会有非常多的安全缺陷，一个是因为开源软件贡献者普遍来说安全意识还不够高，另一个原因是开源软件的贡献者是用爱发电，所以确实没有多余的预算对所编写的编码进行安全性测试。还有另外一个问题，开源软件的安全漏洞虽然可以被社区中的其他贡献者所发现以及上报，但是只有84%的安全漏洞出现在NVD中，很多安全漏洞散落在几百个不同的资源中，这对三方开源软件的使用者提出了非常高的要求，需要自己去收集以及对接，不然就很有可能对自己的软件或平台产生安全的风险。开源的代码既可以被开源社区中的一些贡献者看到，也可以被网络犯罪分子或者黑客所利用，黑客可以发现代码中的漏洞并利用漏洞进行攻击。开源软件因为引用方众多，所以一旦攻击了一个漏洞，影响范围可能是非常大的。
除了安全缺陷外，许可证的违规使用也是一个比较大的问题。据统计，当前超过三成的项目并没有严格遵守开源软件的许可证使用方式。另外一个风险是开源软件项目随着时间的推移，迭代可能会变慢、变少，甚至中断，有数据显示有近九成的代码库中引用到的三方开源软件，在过去两年内没有任何开发迹象，这除了增加安全的风险外，在版本控制中落后太远也会有非常大的威胁，一些非常小的变更甚至都可能带来一些基础性的问题。
三、安全和可信治理
所以，开源软件的风险治理成为使用开源软件必不可少的工作之一。首先，要梳理、依赖以及分析，当前不少工具都可以帮助开源软件的使用者轻松做到这些。梳理软件物料清单时需要注意，除了第一次梳理，之后的每一次迭代都要维护清单、更新清单。大家可以根据迭代后的清单，找到当前不需要的依赖。我们发现开发人员在维护依赖的时候，即使发现不适用的依赖也会懒得删除，这显然会增大黑客的攻击范围，因此需要定期去检查，并删除不需要的依赖。漏洞源的对接相对来说会比较复杂一些，如刚才所提到的，并没有唯一的对接源可以包含所有漏洞的报告。所幸当前已经有一些开源组织提供了一些免费的漏洞库，对接几大组织的漏洞库之后，大部分情况下可以覆盖当前市面上大部分的漏洞。最后，对比版本的依赖，以及发现问题、修复问题。
风险的治理贯穿于研发的生命周期，我个人建议把对于安全的把控左移到设计阶段，在设计阶段就引入安全人员，对于需要引用的开源软件，除了做调研、对比选型、性能测试以及漏洞源数据对比外，还要关注该项目开源社区的活性，以及该项目相关的许可证。
安全风险的治理需左移，要求我们在设计的时候就对此加以关注。在设计阶段，需要对新引用的三方依赖做调研、对比选型、使用验证，甚至会安排性能测试，最终给出选型文档、性能测试报告等等。尤其需要关注该开源项目的社区活性，对于社区活性较弱的开源项目，选择使用的时候需要尤其谨慎。在设计阶段，对于软件物料清单的更新以及许可证的调研等等，都需要在这个阶段加以考虑以及分析。同时，在之后的研发、测试、生产流程中，也是需要有一些手段确保开源软件使用的安全性。
同样，在之后的研发测试等环节中，也有需要执行相对操作来确保安全。开源软件的安全治理在我们公司是在安全治理中非常重要的组成部分。我们公司安全平台的框架中，项目漏洞追踪、开源安全开发模块都是为了帮助并确保引用开源软件时避免安全缺陷。
四、开源与区块链
区块链是去中心化的，天然符合开源的理念。央行数字货币研究所副所长狄刚曾经说过：区块链与开源是互相促进的，区块链有了开源才能走得更远。
为什么这么说呢？其实很简单，区块链的机制是不可篡改，由此减弱信息不对称现象，从而建立信任。但这个不可篡改是建立在理论基础上的，如果区块链不开源，对使用者来说是个黑盒，即时的信任可信度是会被打折扣的。纵观区块链发展史我们知道，以太坊等都是通过开源来获得信任，从而凝聚共识的。
另外，区块链对于开源会有什么帮助呢？区块链天然内置激励，能够解决开源社区的激励不足问题。Gatecoin就是国外开源软件开发激励平台，其愿景是通过区块链支持各类开源项目，帮助不同规模的开源项目寻求资获得资金的机会。此外，智能合约的自动执行，也能减少社区大规模协作的成本。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。