開(kāi)源軟件“史上最大漏洞”被發(fā)現了。近日，阿里云安全團隊在Web服務(wù)器軟件阿帕奇（Apache）下的開(kāi)源日志組件Log4j內，發(fā)現一個(gè)漏洞Log4Shell。這一漏洞的存在可以讓網(wǎng)絡(luò )攻擊者無(wú)需密碼就能訪(fǎng)問(wèn)網(wǎng)絡(luò )服務(wù)器。鑒于Log4j軟件被廣泛使用，網(wǎng)絡(luò )安全專(zhuān)家認為，這一漏洞可能是計算機歷史上“最大的漏洞”。

自上世紀90年代發(fā)展至今，開(kāi)源已成為信息技術(shù)發(fā)展的主流趨勢。特別是在各行各業(yè)數字化轉型的當下，開(kāi)源更成為數字化基礎設施的助力之一。然而，開(kāi)源在發(fā)展過(guò)程中，也面臨著(zhù)種種風(fēng)險。如何在發(fā)展中防范風(fēng)險，讓我國成為具有國際影響力的開(kāi)源大國，是12月16日~18日由中國計算機學(xué)會(huì )（CCF）在深圳舉辦的2021中國計算機大會(huì )（CNCC2021）上熱議的話(huà)題。

大協(xié)作時(shí)代的大勢所趨

開(kāi)源即開(kāi)放源代碼，興起于軟件行業(yè)，現在已開(kāi)始向硬件方向滲透。在CNCC2021北京分會(huì )場(chǎng)舉行的以“數字化轉型的開(kāi)源之路”為主題的大會(huì )論壇上，北京大學(xué)計算機系教授周明輝表示，時(shí)至今日，她還會(huì )經(jīng)常對開(kāi)源進(jìn)行科普：“什么是開(kāi)源？開(kāi)源就是開(kāi)源軟件的版權人在把代碼開(kāi)放出來(lái)的同時(shí)，提供一個(gè)許可證，讓用戶(hù)放心地使用?！?/p>

在1995年就開(kāi)始接觸開(kāi)源的小米集團副總裁崔寶秋看來(lái)，現在開(kāi)源運動(dòng)已經(jīng)如火如荼，開(kāi)源的技術(shù)也日益成熟，從云計算、大數據到人工智能，從軟件到硬件，都在擁抱開(kāi)源，所以開(kāi)源已是大勢所趨。

我國擁有世界上規模最大的程序員群體，但在全球開(kāi)源社區里所發(fā)揮的影響力卻遠遠不夠，甚至被詬病為一個(gè)“拿來(lái)主義”的開(kāi)源大國。不過(guò)，近年來(lái)，這一狀況有所改觀(guān)。作為論壇主持人，中國科學(xué)院計算技術(shù)研究所副所長(cháng)包云崗研究員拋出了這樣一個(gè)問(wèn)題：“我國最近幾年為什么開(kāi)始非常重視開(kāi)源？”

中國工程院院士孫凝暉近年來(lái)在中科院計算所規劃了開(kāi)源芯片方向，是開(kāi)源芯片領(lǐng)域的引領(lǐng)者。在他看來(lái)，我國其實(shí)一直都比較重視開(kāi)源，不過(guò)近年來(lái)開(kāi)源發(fā)展確實(shí)在加速。之所以如此，與我國當下的產(chǎn)業(yè)形勢有關(guān)。

“開(kāi)源主要是要打破壟斷?！?孫凝暉說(shuō)，“我們無(wú)法在壟斷的生態(tài)鏈里把我們的企業(yè)做大、做強，所以就需要一些手段去打破壟斷，去建立更加良好的生態(tài)?！?/p>

北京大學(xué)教授、中國知識產(chǎn)權法研究會(huì )副會(huì )長(cháng)張平介紹，開(kāi)源運動(dòng)起源于對知識產(chǎn)權制度的反抗。當人類(lèi)進(jìn)入信息社會(huì )，也就是進(jìn)入到了一個(gè)技術(shù)大協(xié)作的時(shí)代。此時(shí)，任何一個(gè)主體的創(chuàng )新成果都不足以去支撐某個(gè)產(chǎn)品或者某個(gè)技術(shù)體系，而必須依靠一種相互協(xié)同、互相依賴(lài)的模式。這是開(kāi)源運動(dòng)興起的另一原因。

中國科學(xué)院軟件研究所所長(cháng)趙琛研究員也認為，在大協(xié)作時(shí)代如果不采用開(kāi)源的模式，就很難建立起類(lèi)似信息高鐵等數字化基礎設施。而且，以軟件為例，它的快速迭代和維護是任何一個(gè)企業(yè)，甚至一個(gè)國家都難以支撐和投入的。

在作CNCC2021大會(huì )特邀報告時(shí)，中國科學(xué)院院士、國防科技大學(xué)教授王懷民更是將開(kāi)源總結為一種范式變革。他認為，軟件開(kāi)發(fā)從工程范式發(fā)展為開(kāi)源范式，就是為了全面擁抱互聯(lián)網(wǎng)環(huán)境下的不確定性，以開(kāi)發(fā)者社區的自組織模式，形成自主化的規?；瘎?chuàng )作，以多樣性應對不確定性。

風(fēng)險如何防范？

王懷民介紹，截至目前，開(kāi)源運動(dòng)已經(jīng)取得了相當可觀(guān)的成就：超過(guò)2.3億個(gè)軟件版本庫，開(kāi)發(fā)語(yǔ)言超過(guò)700種。僅GitHub社區，2020年就新增6000萬(wàn)個(gè)版本庫和120萬(wàn)新用戶(hù)，總數據量達21TB。而據谷歌統計，全球總共約有1.3億冊藏書(shū)，數據量為23TB?！斑@就是說(shuō)，開(kāi)源20年的源代碼文明與人類(lèi)五千年文字文明的數據量相當?！彼袊@道。

然而，包云崗指出，雖然前景美好，但實(shí)際上開(kāi)源發(fā)展過(guò)程中也存在著(zhù)一些風(fēng)險，例如類(lèi)似Log4Shell的漏洞，以及一些技術(shù)上的使用限制等。

周明輝認為，從開(kāi)源項目、開(kāi)源生態(tài)的角度，開(kāi)源之所以存在風(fēng)險，主要是因為目前任何一個(gè)開(kāi)源軟件在整個(gè)軟硬件全棧中都只是一個(gè)節點(diǎn)。這個(gè)節點(diǎn)可能會(huì )依賴(lài)上游的成百上千，乃至上萬(wàn)的開(kāi)源軟件。而上游開(kāi)源軟件的任何漏洞，如果缺少維護，就會(huì )存在很大的風(fēng)險?！盎ヂ?lián)網(wǎng)安全歷史上最嚴重的漏洞之一開(kāi)源套件OpenSSL 的‘心臟滴血’（Heartbleed）漏洞，就是因為維護的人很少造成的?！彼f(shuō)。

開(kāi)源是無(wú)國界的，但一些開(kāi)源社區還是有可能出現不允許某公司去下載開(kāi)源代碼的情況。作為法律界人士，張平建議，此時(shí)就可以去質(zhì)疑這些開(kāi)源社區協(xié)議的合理性。例如，開(kāi)源促進(jìn)組織OSI在定義“開(kāi)放”一詞時(shí)有14個(gè)條件，其中第5個(gè)和第6個(gè)條件就提到不能歧視任何個(gè)人和機構，不能歧視任何技術(shù)領(lǐng)域。因此，如果不被允許去某個(gè)開(kāi)源社區下載，那就可以去OSI“維權”，質(zhì)疑某個(gè)社區不是開(kāi)源社區，某個(gè)軟件不是開(kāi)源軟件，因為它們已經(jīng)喪失了“開(kāi)源”的應有之義。

在崔寶秋看來(lái)，開(kāi)源還面臨一個(gè)挑戰，即一些大公司用開(kāi)源作為武器，打造出強有力的平臺，并奠定了領(lǐng)先的優(yōu)勢，形成了自身強大的生態(tài)，而碾壓了開(kāi)源界的其他一些同行?！爱斠粋€(gè)巨頭發(fā)展起來(lái)后，它強大的生態(tài)可能會(huì )綁架很多人。這也是一種風(fēng)險?！?崔寶秋說(shuō)。

“開(kāi)源技術(shù)發(fā)展中碎片化的情況會(huì )越來(lái)越嚴重，這也是需要關(guān)注的一個(gè)問(wèn)題?！壁w琛認為，要把碎片化的影響減到最小，需要在一些工具、理念和方法上做好準備?！拔覀冃枰崆皬募夹g(shù)上做一些考量，進(jìn)行一些布局來(lái)規避它?！?/p>

要注意開(kāi)源的“打法”

怎樣才能構建出具有影響力的開(kāi)源社區？面對包云崗提出的問(wèn)題，崔寶秋回答：“我堅信開(kāi)源是軟件的未來(lái)，但也不是所有東西都是值得拿來(lái)開(kāi)源的?！贝迣毲镏赋?，現在國內很多企業(yè)為了開(kāi)源而開(kāi)源，為了KPI（績(jì)效考核）而開(kāi)源，有的則純粹是為了提升技術(shù)品牌、提升個(gè)人影響力而開(kāi)源。在他看來(lái)，“開(kāi)源什么要考慮清楚，否則開(kāi)源出去以后，不管怎么使勁兒還是會(huì )死翹翹的”。

孫凝暉則認為，開(kāi)源社區要同時(shí)面對社會(huì )發(fā)展中的兩大難題，即公平和效率問(wèn)題。而一個(gè)好的開(kāi)源組織一定要保證能讓技術(shù)更公平地發(fā)展。

就效率而言，如何能讓更多人參與協(xié)同是個(gè)問(wèn)題。孫凝暉舉例說(shuō)，我國在提高處理器性能方面已經(jīng)努力了20年，但大部分做芯片的企業(yè)還是用的國外的核。而國產(chǎn)芯片的性能和國外相比還有很大差距。

“如果我們能夠通過(guò)一個(gè)好的開(kāi)源組織或者創(chuàng )新共同體，把華為海思、阿里平頭哥、今日頭條和中科院計算所以及清華大學(xué)的力量合在一起，是否就能在更短的時(shí)間內把我國芯片核的水平提高一些？”孫凝暉希望，能有更好的協(xié)同機制、更公平的制度設計，讓我國的開(kāi)源組織走得更好。

崔寶秋在開(kāi)源社區的日?！按蚍ā鄙献隽藘牲c(diǎn)分享，一是要在線(xiàn)上保持社區的活躍度，原則就是要“盡早發(fā)布、盡快發(fā)布”開(kāi)源軟件版本；二是要在線(xiàn)下定期舉辦交流活動(dòng)。在他看來(lái)，線(xiàn)下分享會(huì )帶來(lái)很多的人氣，會(huì )碰撞出創(chuàng )新的火花，而這些是純線(xiàn)上不可取代的?！叭绾乌A(yíng)得互相的信任，如何讓社區變得更加友好，線(xiàn)下的交流非常重要?！彼f(shuō)。

來(lái)源:《中國科學(xué)報》