[ON] Результаты исследования безопасности и качества открытого кода

[rssbot]

Компания Coverity, разработчик инструмента для автоматического исследования безопасности и качества программного обеспечения на основе сканирования и анализа исходного кода, опубликовала первые результаты за 2010 год в документе под названием "Отчёт о корректности Open Souce ПО". Последнее подобное исследование состоялось в 2008 году. Стоит напомнить, что программа Coverity Scan была начата в 2006 году как инициатива Министерства национальной безопасности США по обеспечению и усилению безопасности информационной инфраструктуры Соединенных Штатов, работающей на основе Open Source ПО. В рамках исследования в этом году был проанализирован 61 миллион строк исходного кода 291 самых популярных и важных Open Source проектов, включая такие известные продукты как Android, Samba, Linux и Apache. Результаты этого года привели к следующим наблюдениям и выводам:

• В общей массе 45% обнаруженных дефектов в Open Source считаются очень опасными.
• Практически не изменился характер найденных ошибок и частота, с которой они встречаются. Это означает, что процесс тестирования в процессе разработки также не изменился. Результаты также демонстрируют факт того, что человеческий фактор легко позволяет просочиться подобным ошибкам в разработке.
• Ответственность за Open Source сильно фрагментирована. Учитывая высокие темпы в увеличении использования Open Source в цепочке поставок коммерческого ПО, исследователи из Coverity наблюдают увеличивающийся спрос на достижение прозрачности при развёртывании Open Source проектов.

Отдельным пунктом данного исследования, как уже было сказано ранее, является платформа Android. Поскольку различные вендоры используют разные версии Android, исследователи из Coverity остановились на Android, который поставляется вместе с HTC Droid Incredible. Android в этом устройстве использует Linux-ядро версии 2.6.32, а также дополнительные драйверы для обеспечения работы беспроводной сети, сенсорного экрана и фотокамеры. Исследование показало, что:

• Ядро Android в HTC Droid Incredible содержит в два раза меньше ошибок, чем другой средний продукт с таким же объёмом исходного кода.
• Ядро Android имеет лучший показатель числа ошибок на 1000 строк кода (LIC), однако исследование всё равно обнаружило 359 ошибок. Исследователи считают, что другие продукты на основе Android имеют схожее количество ошибок.
• Исследователи нашли 88 очень серьёзных ошибок в Android, или 25% от всех обнаруженных ошибок, включая порчу памяти, неправильное обращение к памяти, утечка ресурсов - все эти типы ошибок являются критическими и могут привести к проблемам в безопасности, потере данных, нестабильности в работе и ухудшению качества. Обычно подобные ошибки пользователи Coverity исправляют до выхода продукта на рынок.
• Ответственность за Android сильно фрагментирована, ибо Android состоит из множества программных продуктов, за которые отвечают тысячи никак несвязанных друг с другом людей. Немаловажную роль в этой проблеме играет и наличие ПО от самого производителя - ведь практически ни один вендор не поставляет немодифицированный Android.

Полный отчёт о найденных ошибках компания Coverity уже отправила ответственным лицам и заинтересованным сторонам. Остаётся надеется, что ошибки будут исправлены и качество Open Source улучшится.


Источник: http://www.opennet.ru/opennews/art.shtml?num=28504


оригинал на opennet.ru

[sash-kan]

Остаётся надеется

боже, какой ужас.

[BURF]

Еще одно независимое исследование, проведенное независимыми экспертами при финансовой поддержке Microsoft?

[sash-kan]

Еще одно независимое исследование, проведенное независимыми экспертами при финансовой поддержке Microsoft?

нет, ms вот тут отметилась: [ON] Открытое и проприетарное ПО: в поисках баланса
а coverity просто рекламирует свои продукты.

[NickLion]

Обычно подобные ошибки пользователи Coverity исправляют до выхода продукта на рынок.

Угу, откровенная реклама.

[Илуватар]

Как это попало в новости?

[taaroa]

Как это попало в новости?

...Coverity - коммерческая компания. Анализатор (закрытый, коммерческий продукт) кода (сорцов) написан на базе GCC.
Результаты тестов.
#0.
#1.

[Ali1]

Defects / KLOC это ошибок на тысячу строк кода?
Четыре нуля это много?

[/dev/random]

Defects / KLOC это ошибок на тысячу строк кода?

Здесь - _потенциальных_ ошибок на тысячу строк. Статический анализ даёт огромное количество ложных страбатываний, и требует перепроверки вручную. Там 3 колонки с количеством ошибок: исправленные, неисправленные и возможные. И в счётчике Defects/KLOS участвуют все, кроме исправленных.

[Ali1]

Т/dev/random
Т.е в Ruby(406,153), LDAP и PAM ошибок нет, и нет даже _потенциальных_ ошибок. Позвольте не поверить.

[/dev/random]

Т.е в Ruby(406,153), LDAP и PAM ошибок нет, и нет даже _потенциальных_ ошибок. Позвольте не поверить.

Нет ошибок и потенциальных ошибок тех видов, с которыми умеет работать этот анализатор. А это, по сути, только неаккуратное обращение с переменными, массивами и результатами функций.

[Dmitry Shurupov]

Компания Coverity, специализирующаяся на анализе исходного кода программного обеспечения, обнародовала результаты очередной проверки кода в популярных Open Source-проектах — Coverity Scan 2010 Open Source Integrity Report. В ходе проверки проводился анализ более 61 миллиона строк кода в 291 проектах, среди которых ядро Linux, ядро Linux в Android, Samba, Apache и PHP. Среди интересных результатов Coverity Scan 2010 называются следующие:

• в Linux-ядре, используемом в Android, обнаружено 359 «дефектов»;
• около 50% из всех дефектов, обнаруженных в коде проанализированных Open Source-проектов, отнесены к категории повышенного риска, т.е. они могут вызывать проблемы в безопасности и падения (у Android этот процент ниже и составляет 25%);
• наиболее распространенные ошибки в коде — это проблемы, приводящие к повреждению данных в памяти, разыменование по NULL-указателю, утечка ресурсов.

Ожидается, что Coverity будет публиковать более детальные отчеты об анализе кода некоторых проектов. В частности, это относится к платформе Android, ядро которой будет исследоваться начиная с версии 2.6.32 (используется в 2.2 «Froyo»).

оригинал на www.nixp.ru