TL; DR, os riscos que acompanham o software de código aberto incluem vulnerabilidades no código, o que significa que o software pode ser alvo se não for atualizado e as obrigações de licença não forem cumpridas, levando potencialmente a problemas legais.
Quais são os riscos associados ao software de código aberto?
Existem muitos riscos diferentes ao usar código-fonte aberto:
O primeiro risco principal é usar software de código aberto quando os termos e condições da licença não correspondem ao seu modelo de negócio/comercial. Por exemplo, ao adicionar software com um componente GPL ao seu código, os termos são quando você libera seu código, ele deve ser entregue com os mesmos termos ou termos equivalentes. Isso seria um problema se você tivesse um aplicativo de código fechado porque os termos da GPL exigem que a fonte do seu aplicativo seja fornecida, o que significa que ele não seria mais de código fechado. Isso é conhecido como Copyleft ou Reciprocidade de Licença.
Vulnerabilidades em software de código aberto
Devido à natureza aberta do código aberto, as vulnerabilidades descobertas são relatadas aos desenvolvedores por meio da vasta comunidade, o que cria oportunidades e problemas. No geral, tem um impacto positivo na segurança, porque qualquer pessoa pode contribuir para reportar vulnerabilidades e melhorar o código. A desvantagem disso é que os hackers podem descobrir facilmente as falhas de segurança que existem em versões mais antigas, o que significa que se você não estiver atualizado, poderá facilmente se tornar um alvo.
À medida que o mundo se torna cada vez mais dependente da tecnologia, o software está a ser utilizado desde infra-estruturas nacionais essenciais, como telecomunicações, serviços públicos (água, gás, electricidade), aviação e defesa, até dispositivos domésticos inteligentes (aquecimento, electrodomésticos de cozinha, contadores inteligentes e vários outros dispositivos IoT). Portanto, deve ser seguro e protegido. Se existirem vulnerabilidades num sistema onde estão a ser armazenadas informações classificadas, ou num sistema que mantém uma empresa unida, e essa vulnerabilidade for visada, poderá ser prejudicial ou perigosa.
Ataques à cadeia de abastecimento
Um grande ataque pode ser reconhecido como a violação de dados da Equifax. A agência multinacional de relatórios de crédito ao consumidor não atualizou uma exploração corrigida de terceiros, resultando, portanto, no comprometimento dos registros privados de mais de 150 milhões de clientes. A estrutura do site deles usava o Apache Struts 2, que recentemente encontrou uma exploração e incentivou todos a atualizarem. Se a Equifax tivesse um sistema que rastreasse todas as suas dependências no código externo que possuíam, eles teriam percebido a gravidade da exploração e atualizado seu código-fonte aberto e salvo os registros que estavam sendo liberados.
Outro exemplo é a biblioteca Log4j para Java, que apresentou uma grande vulnerabilidade ao ser usada em milhões de computadores em todo o mundo. A vulnerabilidade significava que palavras-passe e dados poderiam ser roubados e que software malicioso poderia ser implantado em governos, organizações e indivíduos. Na época, a única maneira de as correções serem implementadas era como se o software estivesse atualizado, ou seja, se os produtos e organizações não tivessem registros de todas as suas dependências, eles poderiam perder a atualização do software.
Ação legal como resultado de não conformidade
O outro risco principal é uma ação legal se você não cumprir as obrigações ou termos das licenças de suas dependências de código aberto. Por exemplo, houve um caso recente (2021) entre a Software Freedom Conservancy (SFC) e a Vizio Inc, em que a Vizio não cumpriu os requisitos da GPL (General Public License). A Vizio supostamente copiou e modificou o código GPL, no entanto, não lançou a versão modificada conforme exigido pela licença GPL.
Trabalhar para obter uma certificação OpenChain permite às empresas identificar as áreas em que precisam de melhorar e compreender os benefícios do código aberto, o risco legal e os custos e riscos associados a ele.