A codificação de código aberto oferece muitos benefícios para as empresas que criam o software e para as empresas que aguardam que precisam utilizá-lo para operações comerciais tranquilas. O software de código aberto é simplesmente codificado por software usando codificação de código aberto. Isso significa que a codificação está aberta para as pessoas visualizarem e manipularem com relativa facilidade. O seu principal espírito é descentralizar e democratizar – até certo ponto – quem tem acesso a determinados códigos.
É uma codificação altamente versátil, mas também volátil, que é a escolha dominante para desenvolvedores de web, aplicativos e software. As vulnerabilidades de um código-fonte aberto tão versátil e facilmente manipulado podem causar tempo de inatividade do software e problemas de segurança que afetam as empresas. Vamos explorar.
O que é código-fonte aberto?
Código aberto é originalmente um termo que se referia a software de código aberto. A composição desse software seria a codificação aberta. Isso significa que é acessível publicamente para que qualquer pessoa possa vê-lo, modificar e distribuir a codificação como desejar. A alternativa é a codificação de código fechado, que, assim como o software de código aberto, refere-se ao software de código fechado. Por trás desse software de código fechado estava a codificação fechada, o que significa que não é de acesso gratuito.
A diferença mais notável, sem incluir a capacidade de modificar a codificação, é como o software de código aberto e fechado é desenvolvido. O software de código fechado normalmente é concretizado pelo trabalho de uma ou de uma pequena equipe de desenvolvedores de software, cada um com acesso mestre à codificação do software. Eles determinam como e quando continuarão a desenvolver o software.
O software de código aberto envolve colaboração em massa para criar o software. A colaboração em massa é a razão pela qual o código aberto é aberto. Precisa ser facilmente acessível para uma grande equipe de pessoas. Um grupo de desenvolvedores poderia trabalhar de forma colaborativa em vários países diferentes, o que por si só cria um problema. Várias pessoas trabalhando no mesmo projeto na mesma sala facilitam a colaboração. Mas os desenvolvedores que trabalham em diferentes países podem dificultar o desenvolvimento, as atualizações e os patches.
Recomendado para você: Network Security 101: 15 melhores maneiras de proteger a rede do seu escritório contra ameaças online.
Que problemas isso pode criar para as empresas?
O software de código fechado tem vulnerabilidades, mas nem de longe tantas quanto o software de código aberto. A principal fraqueza do software de código aberto é que a codificação permite que quase qualquer pessoa o manipule. Esta é uma das razões pelas quais houve um aumento de 650% nos ataques a software de código aberto em 2021. As melhores práticas de segurança de aplicativos, como realizar avaliações de ameaças e criptografar o código, podem criar software mais seguro. Mas o risco inerente de a codificação de código aberto ser tão acessível ainda existe.
Outra questão gira em torno da usabilidade. O software de código aberto normalmente atende às necessidades dos desenvolvedores sem considerar as necessidades do usuário. As empresas devem estar envolvidas no design e nos testes do aplicativo para garantir que ele atenda às necessidades do usuário. Outro problema ligado à usabilidade é a falta de suporte disponível caso algo dê errado. Questões como compatibilidade podem ser um grande problema com software de código aberto. Não há necessariamente suporte de acompanhamento dos desenvolvedores porque vários desenvolvedores de locais diferentes terão concluído o trabalho no software.
As empresas que dependem de software de código aberto e da codificação por trás dele também podem enfrentar práticas inadequadas de desenvolvedor e descuidos nas integrações. O exemplo perfeito é o hack da SolarWinds de 2021. Esse é considerado o hack mais prejudicial a uma cadeia de suprimentos da história.
Mais de 250 empresas e organizações governamentais foram afetadas pela infiltração no sistema Orion, que funcionava com software de código aberto. Durante duas atualizações de software, hackers lançaram malware em toda a rede, causando a falência de centenas de empresas. Toda a cadeia de abastecimento quase parou de funcionar. Os efeitos do hack ainda são sentidos por empresas e organizações governamentais. Muitos dizem que levará anos para se recuperar.
Exemplos de vulnerabilidades de software de código aberto
Existem muitos exemplos de ataques cibernéticos a empresas que utilizam software de código aberto. Isto está ligado ao facto de muitas empresas utilizarem software de código aberto, tornando-se assim alvos fáceis. Abaixo estão dois dos eventos mais notáveis ​​e o que as empresas aprenderam com eles.
Violação de dados Equifax 2017
A violação de dados da Equifax em 2017 trouxe à luz as verdadeiras vulnerabilidades do software de código aberto. As múltiplas falhas de segurança que levaram ao ataque cibernético levaram muitos desenvolvedores web e empresas a reforçar seus softwares para evitar tal ataque. Por que tanto a empresa quanto o desenvolvedor? Porque ambos eram culpados. Os hackers exploraram vulnerabilidades amplamente conhecidas e entraram através de um portal de reclamações de consumidores. Essas vulnerabilidades deveriam ter sido corrigidas pela Equifax, mas não foram.
Depois de passar pelo portal da web, os hackers podem se mover pelo sistema e conseguir roubar milhões de dados pessoais de clientes. Dias antes disso, um patch foi lançado para uma vulnerabilidade conhecida no software. Mas a Equifax optou por não implementar o patch em tempo hábil.
O que eles aprenderam com o ataque? A Equifax descobriu que se um patch precisar de implementação, ele precisará de implementação quando for lançado. Notavelmente, são as grandes organizações as mais vulneráveis. As pequenas e médias empresas não serão o alvo tanto quanto as organizações com uma enorme base de clientes. É por isso que a Equifax, uma empresa que detém dados financeiros de milhões de clientes, deveria ter trabalhado para implementar mudanças mais cedo.
Amazon Web Services
Este ainda não aconteceu. Mas os hackers estão trabalhando silenciosamente em segundo plano, na tentativa de se tornarem o mais recente ataque de software à cadeia de suprimentos. Os desenvolvedores de Python e PHP estão lentamente sendo comprometidos por alguns hacks bem-sucedidos relatados. Mas os hackers ainda não atingiram seu alvo. Os pacotes que eles estão atacando são o Python CTX e o phpass do PHP. Ambos são pacotes de software antigos que atendem empresas há muitos anos.
Atualmente, são os desenvolvedores de software que usam os pacotes afetados, mas o aumento notável nas infiltrações resultou em avisos disparados contra empresas que também utilizam os pacotes de software.
Você pode gostar de: 12 tipos de segurança de endpoint que toda empresa deve conhecer.
O aumento generalizado de ataques cibernéticos a empresas
Não há apenas um problema com ataques de software de código aberto. Há um aumento notável e generalizado de ataques cibernéticos a empresas em todos os níveis. No Reino Unido, por exemplo, o governo publicou recentemente um relatório que instava as empresas e as instituições de caridade a reforçarem as suas práticas de segurança cibernética num contexto de aumento acentuado dos ataques.
Muitos acreditam que isso se deve à pandemia, que fez com que muitas empresas investissem em software que lhes permitisse continuar a operar virtualmente. Um estudo descobriu que houve um aumento de 300% nos ataques durante e nos meses seguintes à pandemia. Mas a pandemia não é a única culpada – o 5G, por exemplo, também está a contribuir para o aumento dos ataques. O mundo estava com pressa por uma largura de banda mais rápida. Mas ao aumentar a largura de banda, os dispositivos IoT ficarão mais vulneráveis ​​a ataques.
A lacuna de competências em cibersegurança nas organizações também parece estar a contribuir para o aumento dos ataques. Muitos funcionários simplesmente não compreendem os riscos e consequências das práticas cibernéticas inseguras. Além disso, muitas empresas nem sequer têm uma equipe dedicada de segurança cibernética. Cabe à administração educar sobre questões como e-mails de phishing e incentivar práticas cibernéticas seguras.
Qual é a solução?
A solução não é parar de usar software de código aberto. Considere as vulnerabilidades e os riscos associados e determine qual software de código aberto mitiga o maior número possível deles. As empresas precisarão optar pelo software mais adequado às suas necessidades. Por exemplo, o software de código aberto poderia ser melhor para marcas que procuram alternativas mais baratas. O software de código aberto normalmente não tem o mesmo preço que o software de código fechado.
O software de código fechado vem com mais estabilidade e segurança para que o software não seja atacado por hackers. Conforme mencionado acima, o software de código aberto tem uma grande falha de segurança que causou um aumento de 650% nos ataques cibernéticos em 2021. Mesmo que as empresas quisessem, não são elas que executam verificações de segurança e criptografam a codificação. Seria a colaboração em massa de desenvolvedores que precisaria fazer isso.
As marcas também devem reservar um tempo para colaborar com os desenvolvedores. Eles devem identificar pontos fracos no software e implementar patches à medida que são lançados. Assim como aconteceu com o hack do Equifax, os desenvolvedores de software lançaram o patch dias antes do ataque. Por terem aplicado o patch, o ataque não teria acontecido. Da mesma forma, implementar atualizações regulares é essencial, mas também envolve a colaboração com os desenvolvedores para garantir que as atualizações sejam lançadas com segurança. Tal como acontece com o exemplo da SolarWinds, as duas atualizações no sistema Orion expuseram fraquezas que os hackers exploraram imediatamente.
O software de código fechado não é uma opção viável para muitas marcas. A melhor alternativa pode ser investir em uma equipe dedicada de segurança cibernética ou dedicar mais tempo para educar os funcionários. Vários ataques cibernéticos de alto perfil começaram com práticas inadequadas de senha, por exemplo, mas são um problema relativamente fácil de resolver. O ataque à Ticketmaster em 2021 é o exemplo perfeito do que pode acontecer quando os funcionários não têm senhas seguras.
Você também pode gostar de: 17 dicas interessantes para redigir uma política de segurança cibernética que não seja uma merda.
Tecnicamente falando, mesmo o software de código fechado tem as mesmas vulnerabilidades do software de código aberto; eles simplesmente não são tão proeminentes. As próprias empresas podem mitigar os riscos selecionando cuidadosamente o software, seja ele aberto ou fechado, criado por desenvolvedores respeitáveis.
O que é evidente, no entanto, é o que precisa de ser feito para proteger as empresas em todo o mundo, especialmente as cadeias de abastecimento que utilizam software de código aberto. O aumento acentuado dos ataques cibernéticos prova o quão vulneráveis ​​são as empresas e os consumidores aos ataques cibernéticos. Os cibercriminosos agora têm acesso a software sofisticado. Os desenvolvedores e as marcas precisam se tornar mais experientes em segurança cibernética para evitar ataques.