當前位置:首頁 > 廠商動態(tài) > 新思科技(Synopsys)
[導讀]開源代碼已經深深扎根在現(xiàn)代軟件開發(fā)之中,甚至代碼擁有者通常都不知道其軟件中包含哪些開源組件。如何才能獲得對開源組件的可見性和安全控制?執(zhí)行安全審計是行之有效的途徑。

開源代碼已經深深扎根在現(xiàn)代軟件開發(fā)之中,甚至代碼擁有者通常都不知道其軟件中包含哪些開源組件。如何才能獲得對開源組件的可見性和安全控制?執(zhí)行安全審計是行之有效的途徑。

有鑒于此,開源審計的重要性日益凸顯。其中,開源許可證沖突問題受到越來越多的關注。新思科技指出,憑借開源審計,企業(yè)可以獲得開源和第三方軟件的完整、準確的軟件物料清單 (SBOM)。這可以為開發(fā)人員提供關于許可證、漏洞和各種組件活力的信息分析依據。

新思科技Black Duck審計服務團隊分析了對并購交易中涉及的商業(yè)和專有代碼庫的 1,700 多項審計結果,并發(fā)布了《2023年開源安全和風險分析》報告(OSSRA)。被審計的代碼庫中有96%含有開源代碼,54%的代碼庫包含許可證沖突。

新思科技中國區(qū)軟件應用安全技術總監(jiān)付紅勛指出:“除了建立全面的SBOM之外,Black Duck審計服務團隊還負責識別許可證并確定組件的優(yōu)先級,以進行法律審查。法律審查不用投入太多時間在常見的標準寬松開源許可證上,許可證沖突則需要優(yōu)先審查。然而,許可證沖突并不是唯一需要法律審查的項目,企業(yè)還需要研究開源許可證及變體版本的細則?!?

自定義開源許可證及變體版本

在新思科技審計的大約30%的代碼庫(以及70%的并購交易)中,發(fā)現(xiàn)代碼具有一次性許可證、標準許可證的自定義變體或根本沒有許可證。在本可以識別組件的來源——存儲庫或網站——但在該位置或代碼中卻找不到任何許可或使用條款時,這些組件將被標記為“未經許可”。

標準許可證的變體可能會很棘手,因為可能被認為是MIT或BSD許可證等。但仔細檢查后,通常會發(fā)現(xiàn)開發(fā)人員自作主張,在標準中加入了自己的想法。

JSON 許可證

最常見的變體是JSON許可證,即MIT許可證添加上“該款軟件嚴禁用于惡意用途,僅限用于善意用途”的注釋。由于此類條款含糊不清,Apache軟件基金會暫停使用JSON許可的代碼。

JSON許可證甚至還有變體。在此變體中,許可證中添加了以下注釋:“如果有人以書面形式通知您沒有遵守行為規(guī)范,您需要在30天內采取相應行動以繼續(xù)使用該許可證;否則您的許可證將被立即終止?!?

Commons Clause許可證變體

Commons Clause 是一種變體,旨在修改標準開源許可證以限制軟件的商業(yè)用途。摘錄內容如下:“……許可證并未授予您銷售軟件的權利?!闭Э粗?,在 Apache 許可證等許可范圍內的軟件可能會因本條款而變得完全無法使用。

專有和商業(yè)許可證

代碼庫包含來自第三方商業(yè)軟件公司的內容并不罕見。開源審計經常發(fā)現(xiàn)來自Adobe、Microsoft、Oracle和其他公司的版權。作為軟件盡職調查的一部分,收購方有必要檢查是否有適當的許可證并已披露。即使許可是正當的,律師仍將希望確保控制權的變更不會在未來引入任何風險。

雙重許可

越來越多的公司正在使用雙重許可,這是一種巧妙的商業(yè)模式。根據開源許可證向開發(fā)人員提供軟件,但同時該許可證包含使其難以用于商業(yè)目的的義務。

AGPL 許可證經常出現(xiàn)在這種情況下:大多數公司不能在其產品中使用 AGPL 許可的代碼 (還有其它許可證更明確地禁止沒有商業(yè)許可證的商業(yè)使用)。如果開發(fā)人員使用根據 AGPL 許可的代碼,公司需要與供應商就相同的代碼簽訂商業(yè)許可證。

當開源審計發(fā)現(xiàn)雙重許可軟件時,工作人員會突出顯示這點,以便收購方可以確保目標公司已獲得適當許可。

了解代碼中的內容

要全面了解代碼是否已獲得適當許可,需要準確且完整的材料清單,以及分析預期用途與所包含的開源許可之間可能存在的沖突。還有其它超出標準開源的許可問題,需要更深入的研究和更多的法律審查。重要的是,作為軟件盡職調查的一部分,開源審計可以追蹤到許可證信息,以方便專業(yè)的知識產權律師評估其客戶特定情況下的風險。

本站聲明: 本文章由作者或相關機構授權發(fā)布,目的在于傳遞更多信息,并不代表本站贊同其觀點,本站亦不保證或承諾內容真實性等。需要轉載請聯(lián)系該專欄作者,如若文章內容侵犯您的權益,請及時聯(lián)系本站刪除。
換一批
延伸閱讀

9月2日消息,不造車的華為或將催生出更大的獨角獸公司,隨著阿維塔和賽力斯的入局,華為引望愈發(fā)顯得引人矚目。

關鍵字: 阿維塔 塞力斯 華為

加利福尼亞州圣克拉拉縣2024年8月30日 /美通社/ -- 數字化轉型技術解決方案公司Trianz今天宣布,該公司與Amazon Web Services (AWS)簽訂了...

關鍵字: AWS AN BSP 數字化

倫敦2024年8月29日 /美通社/ -- 英國汽車技術公司SODA.Auto推出其旗艦產品SODA V,這是全球首款涵蓋汽車工程師從創(chuàng)意到認證的所有需求的工具,可用于創(chuàng)建軟件定義汽車。 SODA V工具的開發(fā)耗時1.5...

關鍵字: 汽車 人工智能 智能驅動 BSP

北京2024年8月28日 /美通社/ -- 越來越多用戶希望企業(yè)業(yè)務能7×24不間斷運行,同時企業(yè)卻面臨越來越多業(yè)務中斷的風險,如企業(yè)系統(tǒng)復雜性的增加,頻繁的功能更新和發(fā)布等。如何確保業(yè)務連續(xù)性,提升韌性,成...

關鍵字: 亞馬遜 解密 控制平面 BSP

8月30日消息,據媒體報道,騰訊和網易近期正在縮減他們對日本游戲市場的投資。

關鍵字: 騰訊 編碼器 CPU

8月28日消息,今天上午,2024中國國際大數據產業(yè)博覽會開幕式在貴陽舉行,華為董事、質量流程IT總裁陶景文發(fā)表了演講。

關鍵字: 華為 12nm EDA 半導體

8月28日消息,在2024中國國際大數據產業(yè)博覽會上,華為常務董事、華為云CEO張平安發(fā)表演講稱,數字世界的話語權最終是由生態(tài)的繁榮決定的。

關鍵字: 華為 12nm 手機 衛(wèi)星通信

要點: 有效應對環(huán)境變化,經營業(yè)績穩(wěn)中有升 落實提質增效舉措,毛利潤率延續(xù)升勢 戰(zhàn)略布局成效顯著,戰(zhàn)新業(yè)務引領增長 以科技創(chuàng)新為引領,提升企業(yè)核心競爭力 堅持高質量發(fā)展策略,塑強核心競爭優(yōu)勢...

關鍵字: 通信 BSP 電信運營商 數字經濟

北京2024年8月27日 /美通社/ -- 8月21日,由中央廣播電視總臺與中國電影電視技術學會聯(lián)合牽頭組建的NVI技術創(chuàng)新聯(lián)盟在BIRTV2024超高清全產業(yè)鏈發(fā)展研討會上宣布正式成立。 活動現(xiàn)場 NVI技術創(chuàng)新聯(lián)...

關鍵字: VI 傳輸協(xié)議 音頻 BSP

北京2024年8月27日 /美通社/ -- 在8月23日舉辦的2024年長三角生態(tài)綠色一體化發(fā)展示范區(qū)聯(lián)合招商會上,軟通動力信息技術(集團)股份有限公司(以下簡稱"軟通動力")與長三角投資(上海)有限...

關鍵字: BSP 信息技術
關閉