点击右上角微信好友

朋友圈

请使用浏览器分享功能进行分享

正在阅读:软件供应链:开源发展新“引擎”
首页> 科普频道> 科普头条 > 正文

软件供应链:开源发展新“引擎”

来源:《中国科学报》2020-11-19 08:58

调查问题加载中,请稍候。
若长时间无响应,请刷新本页面

  建设可靠的开源软件供应链,保障软件供应安全和高质量创新。图片来源:Unsplash

  ■本报记者 卜叶

  30多年前,理查德·马修·斯托曼(Richard Matthew Stallman)提出革奴计划,即创建一套完全自由的操作系统。这颠覆了当时软件界闭门造车的生态,一大批自由软件由此诞生。

  此后的岁月里,借助于开源软件,谷歌、亚马逊、Facebook、华为、BAT等互联网巨头,红帽等开源操作系统厂商,以及云计算和移动终端产业快速崛起,为世界带来深刻改变。

  “相较于发达国家,我国的开源基础核心技术仍然缺失,产品市场份额仍然不高,产业价值链仍然以中低端为主,生态关键环节仍存在挑战。”近日,在开源软件供应链2020峰会上,中国科学院软件研究所(以下简称软件所)所长赵琛如是说。

  软件所研究员武延军也认为,中国开源软件仍面临一些根本问题,集中体现在开源产业价值不高、开源社区贡献不足、开源生态受制于人。如何摆脱当前的困境?与会专家展开热烈讨论。

  居于“险要”之地的开源软件供应链

  “以操作系统为例,大型复杂系统软件的开源软件组成非常复杂,集中体现在主流操作系统包含大量开源软件包,开源软件包开发维护分布在全球各地。可以说,拥有可靠开源软件供应链是大规模商用操作系统的基础。开源操作系统构建的过程,本质上是供应链整合优化的过程。”武延军说。

  伴随着产业发展,现代软件已经从单体模式演进到以开源软件为代表的规模化协作模式。复杂软件往往涉及诸多开源软件。这些开源软件彼此组合、依赖,连同为各个开源软件做贡献的维护者和开发者,共同形成一个包含上万个节点的供应关系网络,即开源软件供应链。

  开源软件供应链涉及所有开源软件上游社区、源码包、二进制包、包管理器、存储仓库以及开发者和维护者、社区、基金会等。已有研究表明,软件的安全性和可靠性与其复杂性息息相关,比如代码合并过程中,软件供应链面临遭受攻击的威胁;随着版本演化,由于缺少对软件供应链的优化和甄选,操作系统的性能反而下降。

  为了让大家形象理解供应链的重要性,赵琛分享了一个故事。他介绍,某品牌的一款车型出现问题,技术人员拆开装置寻找原因,一直追溯到德国南部山区的一家四级供应商,原来是一个铅笔头大小、价值25美分的部件出了问题。而这个部件却对价值5万美元的汽车质量造成了隐患,进而可能影响到千亿美元的汽车市场。“这是传统供应链的一个生动案例。而对于大型复杂系统软件来说,其供应链体系更为复杂、影响更大。”赵琛说。

  与传统供应链不同,开源软件供应链具有产品迭代快、模块数量多、生产线上化、供应全球化、仓储集中化、用户多样化等特点,这也让开源软件供应链暴露在更多风险之下。

  武延军表示,开源软件供应链面临安全性风险,不法分子可以利用供应链中已有的漏洞进行组合攻击,或向供应链的上游注入恶意程序;知识产权风险,软件发布及使用过程中违反开源协议;维护性风险,因供应链条中的节点缺乏维护所致。

  将供应链风险管理引入开源

  尽管软件开源让产业界面临很多棘手的问题,但武延军“坚信最好的软件是开源、开放的软件”。他举例说,Red Hat始于开源社区,其拥有数以千计的庞大技术贡献者群体,确保成品经过反复检验,能够长久安全使用。

  “开源的优势不言而喻,不能因噎废食。将供应链风险管理概念引入软件产业,提出攻击和安全风险评估方法,系统分析开源软件所面临的挑战尤为必要。”武延军说。

  去年开始,Linux基金会、Sonatype、Synopsys等组织机构,也提出了开源软件供应链的概念,并提出衡量指标、代码审计要素等,软件供应链正在成为开源发展的新“引擎”。

  “如果退回到十几年前,可能我国并没有讨论这一问题的基础,当时我国对国际开源的贡献还很少,最近这种情况有了极大改善。”赵琛直言不讳。

  据GitHub统计,2020年中国源代码贡献量已达到世界第二;在最新的Linux内核5.8稳定版本中,华为技术有限公司的代码贡献量世界排名第二;BAT等互联网巨头都相继推出各自的重量级开源软件。我国建立了openEuler这样的大型开源操作系统社区,以及开放原子开源基金会等开源基金会组织。“开源软件在中国的发展态势已经发生了根本变化。”赵琛说。

  他表示,在这种情况下,有必要更加深刻理解开源软件的生产方式、组织体系和运转机制,针对产业对开源软件的重度需求,理清开源软件的关键技术和关键环节,建设可靠的开源软件供应链,保障软件供应安全和高质量创新。

  武延军认为,应从供应链角度探索开源产业的价值要素和核心竞争力,评估开源社区的需求和认可度,把握开源生态的关键环节。具体来说,就是要构建开源软件知识图谱,建立供应链可靠性风险识别与评估体系,量化评价指标,同时通过对攻击链路进行知识建模,有效检测供应链中存在的攻击链路。

  目前,武延军团队通过追踪软件之间的关联依赖关系、更新迭代等,不断扩充并完善知识图谱,为开源软件提供持续的数据输入。截至目前,已提取将近9万个软件包实体和超过6万个软件实体之间的关联关系。

  多样需求孕育多种需要

  除了风险防控、安全保障、效率提升,企业对开源提出更多实际需要。华为技术有限公司的工作人员提出了他们的困惑,“市面上的开源项目越来越多,如何选择最契合企业需要的,如何预判开源软件下一个版本是否依然适合使用是企业面临的难题。”

  为此,武延军团队提出开源软件供应链演化定制模型的想法,让企业能够找到更适合自己的开源项目。

  2019年《经济学人》杂志曾预测,“开源软件是过去10年来智能手机大发展的先决条件,而像RISC—V这样的开源硬件也许会在未来10年让其他设备实现类似扩张。”

  2018年8月底,中国科学院大学在国内首次以流片为目标,指导首批5位本科生完成了一款64位RISC—V处理器SoC芯片设计,于12月完成第一次投片,芯片返回后可成功运行Linux操作系统。这款芯片就是“果壳”。目前,“果壳”在GitHub开源,拥有近百位来自世界各地的使用者。软件所也将openEuler操作系统移植到“果壳”上,并建立“果壳”分支。“这实现了工业级操作系统在教学芯片上的成功应用。”中国科学院计算技术研究所研究员包云岗表示。

  多种需要也凸显开源的人才缺口。2020年,软件所在中国科学院战略先导专项支持下, 发起了“开源软件供应链点亮计划”,希望通过建设可靠开源软件供应链,精准培养软件领域急需人才和高端人才。赵琛表示,后续也希望继续联合相关高校、企业和开源社区,通过开源协作的方式,共同建设特色化的示范性软件学院,培养满足产业需求的软件人才。

[ 责编:张梦凡 ]
阅读剩余全文(

相关阅读

您此时的心情

光明云投
新闻表情排行 /
  • 开心
     
    0
  • 难过
     
    0
  • 点赞
     
    0
  • 飘过
     
    0

视觉焦点

  • 美国数百万人感恩节假期出行

  • 湖南通道:芦笙节 展风情

独家策划

推荐阅读
近年来,直播带货的发展速度可谓是“跑步前进”,而直播中产品质量差、涉虚假宣传、流量造假等问题也逐渐显现。戳图带你了解如何避坑↓↓↓
2020-11-27 17:26
据中国信通院预测,到2025年,5G网络建设将累计投资达1.2万亿元,带动产业链上下游以及各行业的应用投资,预计到2025年将累计带动超过3.5万亿元的投资。
2020-11-27 10:16
11月26日至28日,由广东省人民政府、国家发展和改革委员会、科学技术部、工业和信息化部共同主办的2020世界5G大会在广州举行。
2020-11-27 10:13
北京市经信局近日发布《北京市“十四五”时期智慧城市发展行动纲要(公众征求意见稿)》,提出“到2025年,将北京建设成为全球新型智慧城市的标杆城市”的发展目标。
2020-11-27 10:08
美国科学家研制出了迄今最小的存储设备,其横截面积仅1平方纳米,容量约为25兆比特/平方厘米,与目前的商用闪存设备相比,每层的存储密度提高了100倍。
2020-11-27 10:07
《自然》杂志对480位从事人脸识别、人工智能和计算机科学领域研究的研究人员的调查显示,人们对人脸识别研究的伦理学普遍存在担忧,但也存在分歧。
2020-11-27 10:06
以色列兹布拉医学视觉初创公司和苏格兰斯托姆ID咨询公司通过用机器学习和人工智能技术开发的软件,帮助临床医疗组在患者骨折发生前将他们筛选出来并加以治疗。
2020-11-27 09:57
“科技的未来在青年”,青年科学家是推动科技进步的重要力量,也是最有创造潜力的群体。
2020-11-27 09:53
站在两个百年的历史交汇点,站在新征程的新起点,中国航天必须坚定不移走创新驱动发展之路,把创新作为引领中国航天发展的第一动力。
2020-11-27 09:50
在科教融合三年后,齐鲁工业大学(山东省科学院)迎来高光时刻。
2020-11-27 09:49
11月26日,2020第五届腾云峰会在北京召开,文化界和科技界人士共聚,探讨科学和文化之间“流动的边界”。
2020-11-27 09:45
“高性能超级计算机,是世界发达国家争抢的重要‘制高点’,对国家安全、经济和社会发展,具有举足轻重的支持作用。
2020-11-27 09:40
中国联合网络通信集团有限公司董事长王晓初在主旨演讲中介绍,中国联通聚焦更高品质的生活,着力打造拉动消费升级的“新引擎”。
2020-11-27 09:37
要进一步降低5G设备的能耗,这是涉及可持续发展的关键问题之一。龚克坦言,5G超越了人和人通信的概念,实现了人和物、物和物之间的联系,5G应该“热”在各种行业应用上。”  
2020-11-27 09:35
业内专家认为,面对疫情防控常态化,《指南》给出的人物并防措施,将冷链铸成了一道“安全链”。
2020-11-27 09:34
安徽省合肥市包河区《合杭梦想小镇促进产业发展专项扶持政策(试行)》日前正式出台,助力长三角一体化高质量发展的一项有力举措。
2020-11-27 09:32
“一网统管”作为城市治理的“牛鼻子”工作,江苏路街道全面加强党的领导,深度参与上海“一网统管”建设试点,以民为本,持续聚焦高效处置一件事。
2020-11-27 09:29
近期,进口冷链食品核酸阳性检出率明显增高。“涉及产品范围从海产品到畜禽肉类产品,进口物资被病毒污染范围从冷链食品扩展到集装箱。”国家卫健委新闻发言人米锋说,疫情传播呈现出“从物到人”和“从人到人”并存的特征。
2020-11-26 19:58
伴随着行业应用的不断拓展和产业协同的加速推进,正式商用一年的5G快速改变着人们的生产生活,为数众多的数字化场景围绕着5G在形成和创新发展中。
2020-11-26 10:02
告知承诺制主要涉及个人姓名、婚姻状况、疾病状况、居民身份信息证明等,由派出所、村居委会开具。
2020-11-26 09:51
加载更多