开源基础设施的安全挑战

开源技术改进基金（OSTIF）正致力于解决开源生态中一个常被忽视的问题：支撑当今互联网基础设施的关键软件项目，其开发、测试和维护仅依赖"数量惊人的少数贡献者"。正如OSTIF所指出的，“由于缺乏利润驱动，核心开源项目资金严重不足，导致关键互联网基础设施暴露在漏洞、文档缺失、性能低下甚至间谍活动的风险中”。

我们的安全评估方法论

在Trail of Bits，我们提供多种安全服务：

• 定制化代码审计：结合模糊测试工具链开发、静态分析规则集和定向人工审查
• 威胁建模：涵盖架构审查、系统思维和威胁场景构建
• CI/CD管道强化：以及修复方案验证 我们通常会组建跨领域专家团队，例如先进行威胁建模再开展代码审计，使模糊测试能快速锁定代码库中最脆弱的环节。

重点项目安全评估案例

Linux内核发布签名机制（2021年3-4月）

• 审计重点：签名密钥管理、开发者工作流、加密算法实现
• 关键建议：
  • 强制使用智能卡存储私钥
  • 用ECDSA/Ed25519替代RSA/DSA算法
  • 建立密钥管理策略文档

curl/libcurl审查（2022年9-10月）

• 通过威胁建模发现14个问题，包括：
  • 2个高危内存损坏漏洞（通过并行模糊测试发现）
  • 改进后的模糊测试系统后续发现CVE-2022-42915等漏洞

Kubernetes事件驱动扩缩容（KEDA，2022年12月）

• 发现Redis通信未启用TLS的中间人攻击风险
• 开发定制Semgrep规则检测编码模式问题

Eclipse Mosquitto（2023年3月）

• 威胁模型暴露架构缺陷：
  • 缺乏全局速率限制配置
  • 无法防御消息循环拒绝服务
• 代码审计发现：
  • 可远程触发的堆内存转储漏洞
  • HTTP头解析绕过审计控制

技术演进与未来计划

我们将持续改进评估方法，包括：

• 发布curl模糊测试基础设施的深度技术解析
• 公开OpenSSL和Mosquitto评估中发现的有趣漏洞技术细节
• 对已完成项目进行修复验证