Les logiciels libres et open source (FOSS) sont devenus un élément essentiel de l’économie moderne. Il a été estimé que les logiciels libres constituent 80 à 90% de tout logiciel moderne, et que le logiciel est une ressource de plus en plus vitale dans presque toutes les industries. Cette forte dépendance aux logiciels libres est courante dans les secteurs public et privé, dans les organisations technologiques et non technologiques. Par conséquent, assurer la santé et la sécurité des logiciels libres est essentiel pour l’avenir de presque toutes les industries de l’économie moderne.

Pour mieux comprendre l’état de la sécurité et de la durabilité dans l’écosystème FOSS, et comment les organisations et les entreprises peuvent le soutenir, le Fondation Linuxde Initiative sur les infrastructures de base (CII) et le Laboratoire de science de l’innovation à Harvard (LISH) a collaboré pour mener une vaste enquête auprès des contributeurs FOSS dans le cadre d’efforts plus larges visant à adopter une approche préventive pour renforcer la cybersécurité en améliorant la sécurité des logiciels open-source.

Ces efforts – récemment intégrés dans le Open Source Security Foundation (OpenSSF) Groupe de travail sur la sécurisation des projets critiques – vise à soutenir, protéger et fortifier les logiciels ouverts, en particulier les logiciels critiques pour l’infrastructure mondiale de l’information.

L’objectif principal de cette enquête est d’identifier la meilleure façon d’améliorer la sécurité et la durabilité des logiciels libres, en particulier les projets largement utilisés par l’économie moderne. Plus précisément, l’enquête vise à aider à répondre à la question,

«Comment pouvons-nous mieux encourager une maintenance et une sécurité adéquates des projets FOSS les plus utilisés?»

Surtout, en menant cette enquête, l’équipe de recherche a cherché à adopter une vision holistique de la sécurité. La méthodologie de recrutement des participants à l’enquête a mis l’accent sur les contributeurs aux projets FOSS qui ont été identifiés comme largement utilisés par des recherches antérieures qui ont abouti à la publication de «Rapport préliminaire du recensement II CII – Vulnérabilités dans le noyau.»

Ce nouveau rapport résume les résultats d’une enquête menée auprès des développeurs de logiciels libres / open source (FOSS) en 2020. L’objectif était d’identifier les problèmes clés dans l’amélioration de la sécurité et de la durabilité du FOSS puisque le monde en dépend désormais en tant qu’infrastructure critique qui sous-tend les économie.

Pour capturer un échantillon représentatif de la communauté FOSS, l’équipe de recherche a distribué l’enquête aux contributeurs des projets open source les plus largement utilisés et a invité la communauté plus large des contributeurs FOSS via une invitation ouverte. Il a capturé des aspects plus techniques de la sécurité et a également considéré le côté plus humain.

L’enquête comprenait des questions sur les motivations et le niveau d’implication des contributeurs, l’implication des entreprises dans les logiciels libres, le rôle des considérations économiques dans le comportement de contribution et visait à répondre aux questions suivantes:

1. Démographie: Quelles sont les données démographiques des contributeurs FOSS? En particulier, quels sont leur sexe, leur emploi et leur situation géographique?
2. Motivations: Quelles sont leurs raisons pour commencer, continuer ou interrompre leurs contributions aux logiciels libres? Comment les projets peuvent-ils maintenir l’engagement des contributeurs et les contributeurs ont-ils le sentiment que leurs employeurs ou d’autres apprécient leur travail?
3. Payer: Combien de contributeurs FOSS sont payés pour leur travail sur FOSS? Si payé, par qui (par exemple, par les employeurs et / ou le parrainage d’entreprise)? Si ce n’est pas le cas, l’absence de paiement entraîne-t-elle une sécurité ou une durabilité nettement plus faible?
4. Temps passé: Combien de temps les contributeurs passent-ils à contribuer au logiciel libre et comment aimeraient-ils le dépenser? Y a-t-il un intérêt à augmenter le temps consacré aux questions de sécurité?
5. Aide: Quels types d’actions des acteurs externes contribueraient à améliorer la sécurité (par exemple, contributions au code et / ou argent)?
6. Activité actuel: Quels types d’activités liées à la sécurité sont déjà en cours dans les projets FOSS représentés par les répondants?
7. Éducation / formation: Quelle formation / formation les contributeurs FOSS ont-ils eu dans le développement et l’exploitation de logiciels sécurisés? De quelles sources l’ont-ils reçu?

Les objectifs de cette enquête étaient de comprendre l’état de la sécurité et de la durabilité des logiciels libres et d’identifier les possibilités de les améliorer, et d’assurer la viabilité des logiciels libres à l’avenir. En particulier, cette enquête s’est concentrée sur le «côté humain» des logiciels libres, plus que sur le côté technique, bien que les deux soient certainement interdépendants, et ces résultats concernent les deux.

Les résultats ont identifié des raisons d’optimisme quant à l’avenir des logiciels libres (les individus continuent de contribuer aux logiciels libres, les entreprises deviennent plus amicales envers les logiciels libres au point de payer certains employés pour y contribuer, etc.), mais aussi des sujets de préoccupation (en particulier les manque d’efforts liés à la sécurité et difficultés potentielles à motiver ces efforts.

En fin de compte, les logiciels libres et open source sont, et ont toujours été, un effort communautaire qui a conduit au développement de certains des éléments constitutifs les plus critiques de l’économie moderne. Cette enquête met en évidence l’importance de la sécurité de cet important actif dynamique. De même, il faudra un effort mené par la communauté, y compris les particuliers, les entreprises et les institutions, pour garantir la sécurité et la durabilité des logiciels libres pour les générations futures.

Auteurs:

• Frank Nagle, Harvard Business School
• David A. Wheeler, La Fondation Linux
• Hila Lifshitz-Assaf, L’Université de New York
• Jambon Haylee, Laboratoire de science de l’innovation à Harvard
• Jennifer L. Hoffman, Laboratoire de science de l’innovation à Harvard