Open Source Consumption Manifesto 概述

OpenSSF（开源安全基金会）发布的《开源消费宣言》（Open Source Consumption Manifesto，以下简称OSCM）旨在提高软件行业对其在确保软件供应链安全与健康方面的责任意识。

开源软件的重要性与挑战

开源软件在当今技术生态中的重要性不可忽视，其对效率和创新的贡献巨大。然而，近期暴露的漏洞和攻击（如Log4j和Log4Shell事件）表明，开源安全仍是一个未解决的问题，且业界对如何最好地实现安全性尚未达成一致。

安全问题的不同观点

关于如何提升开源软件安全性，存在多种观点：

• 一些人认为应优先教育软件开发团队。
• 其他人则强调框架、最佳实践和标准的价值。
• 这些方法都具有一定的可行性，但缺乏统一的方向。

OSCM 的核心理念

OSCM试图建立一个简单且共识化的方法，其首要目标是将关注点从“开发”扩展到更广泛的“消费”框架。安全性漏洞仅是问题的一部分，软件供应链中的新型攻击（如恶意软件包和依赖项混淆）已成为常见威胁。

OSCM 的主要建议

OSCM提出了多项建议，旨在关注和优先处理关键问题：

1. 漏洞管理：并非所有漏洞都被积极管理，且CVSS等评分系统可能存在滞后效应。
2. 审计与隔离功能：建议对已知漏洞和恶意软件包的组件使用审计与隔离功能。
3. 工具与流程：强调使用工具和流程帮助团队对所使用的开源软件做出知情决策。
4. 开发者参与：积极与开源开发者合作，为其项目贡献力量。
5. 安全工具与实践：采用旨在提升安全的工具、最佳实践和流程。

OSCM 的协作性质

OSCM目前仍处于早期阶段，旨在成为一项协作性努力，欢迎各方贡献。其内容托管在GitHub上，支持者欢迎提交Pull Request以进一步完善宣言。

总结

OSCM通过强调“消费”框架和供应链安全，为开源软件的安全性提供了新的视角。其核心在于统一共识、关注关键问题，并通过协作推动开源生态的健康发展。