新华网客户端■代码“源头”安全该如何守护？，信创产业已成现象级新风口 2019年

2019年，一个全新的市场——信创产业开始进入了大家的视野；进入2020年，在复工复产、“新基建”全面启动的背景下，各地信创项目开始大面积铺开，信创产业也随之出现了一个现象级的风口。与此同时，和信创产业相关的生态体系，包括开源软件、业务应用、安全防护等，也成为业界关注的焦点。
信创产业“大厦”离不开开源软件的“砖头瓦块”
信创产业，即信息技术应用创新产业。在过去，中国IT底层标准、架构、产品、生态大多数都由美国IT巨头来制定，由此存在诸多安全风险。因此，中国要逐步建立基于自己的IT底层架构和标准，形成自有开放生态。基于自有IT底层架构和标准建立起来的IT产业生态便是信创产业的主要内涵。

文章图片
信创产业是“新基建”的重要内容
权威机构指出,2020年是信创产业全面推广的起点，未来三到五年，信创产业将迎来黄金发展期。我国国产基础软硬件从“不可用”发展为“可用” ，并正在向“好用”演变。信创产业作为“新基建”的重要内容，将成为拉动经济发展的重要抓手之一，政府投入预计将会得到充分保证。
很多人对信创产业经常谈到的自主创新有一种误解，认为自主创新就意味着每行代码都要自己原创，这样才确保有自主产权，这一方面很不现实，第二也不符合开源开放、共享的精神。
拿浏览器来说， Chromium浏览器代码规模有2400万行，一个Windows操作系统大约5000万行左右，所以做一个浏览器等于小半个操作系统。而开发Windows操作系统的成本一般在百亿美元级别，甚至有人用修建胡夫金字塔，来比喻开发Windows的庞大工程量。
“可以说，现代软件大多数是被‘组装’出来的，不是被‘开发’出来的” ，奇安信代码安全事业部总经理黄永刚表示。事实上，现代软件开发越来越像工业生产和制造，原材料就是开源软件，加上自己写的业务代码，最后“组装”出一个软件系统。
黄永刚看来，开源软件已经成为构建网络空间最基础的“砖头瓦块” ，无处不在。 “开源软件已经成为信创生态系统开发和建设的核心基础设施，开源软件安全问题应该上升到基础设施安全的高度来对待。 ”
从现有信创生态来看，从操作系统，到数据库、中间件，以及办公软件等，都依赖于开源生态。放眼全球，开源软件已经成为软件世界的重要组成部分。根据Gartner统计， 99%的组织在其IT系统中使用了开源软件。
每1000行代码有14个安全缺陷开源软件安全不容忽视
今年3月，安全公司WhiteSource发布了一份《开源安全年度报告》。报告表明， 2019年，公开披露的开源安全漏洞数量再创新高，总数为6100个。与2018年相比，开源安全漏洞的数量增长近50% 。这份报告表明，开源软件的安全问题非常严重。

文章图片
开源“心脏出血”漏洞曾席卷全球
2014年，开源软件OpenSSLHeartbleed（心脏出血）漏洞席卷全球，全球超过三分之二的网站“心脏出血” ，大量私钥和其他加密信息处于暴露危险下。 2017年，美国征信巨头Equifax发生数据泄露，涉及近1.45亿用户。据悉，这起数据泄露事件的原因是黑客利用Struts开源软件的漏洞实施攻击。
以封闭、安全著称的苹果公司，也未能独善其身。 2015年，由于iOS开发者使用了非官方渠道、带后门的Xcode编辑器，导致AppStore上海量应用感染了XcodeGhost病毒，难以估量的用户个人数据被传到黑客服务器，其中包括微信、高德、滴滴、花椒、58同城、百度音乐、网易云音乐、12306、同花顺、南方航空、工行融e联等主流APP ，首批感染病毒APP数量近千，至少1亿用户受到影响。专家认为，工业化时代，一个后门有可能致国内的主流APP全部中招，其危害不言而喻。