2015年09月17日 08時00分 UPDATE
特集/連載

コード品質はOSSの方が高いコード分析で分かった「商用ソフトはOSSよりセキュリティが強固」な理由とは?

5400件以上のOSSプロジェクトを解析し、24万件の欠陥を検出してきたCoverityが、約100億行のオープンソースコードと商用プロジェクトのコードを比較。OSSのコードがセキュリティに問題を抱える理由とは?

[Warwick Ashford,Computer Weekly]
Computer Weekly

 ソースコードの解析ツールを手掛けるソフトウェア企業、米Coverityが発表した最新版のリポート「The 2014 Coverity Scan Open Source Report」によると、商用ソフトウェア(Commercial software)のコードは、オープンソースのコードよりもはるかにセキュリティが強固であるという。

Computer Weekly日本語版 9月16日号無料ダウンロード

17665.gif

本記事は、プレミアムコンテンツ「Computer Weekly日本語版 9月16日号」(PDF)掲載記事の抄訳版です。本記事の全文は、同プレミアムコンテンツで読むことができます。

なお、同コンテンツのEPUB版およびKindle(MOBI)版も提供しています。

ボタンボタン

 2013年版と2014年版(最新)のリポートでは、同社が実施した静的分析による欠陥密度のスキャンの結果、オープンソースのコードは商用のコードよりも質が高いとしている。

 2014年版のリポートでは、セキュリティのコンプライアンス基準に照らした比較も行った。そのコンプライアンス基準には、信頼性の高いアプリケーションの開発などを目的とする非営利団体「Open Web Application Security Project(OWASP)」が提唱する「The OWASP Top Ten」や、世界各地のセキュリティの専門家が推進するプロジェクト「Common Weakness Enumeration(CWE)」が発表している「2011 CWE/SANS Top 25 Most Dangerous Software Errors(最も危険なプログラミングエラートップ25)」などが含まれる。そして調査の結果、商用コードは、オープンソースのそれよりもセキュリティ基準に対するコンプライアンスの準拠度が高いことが分かった。

 リポートがこのように結論付けている理由は主に、2014年にオープンソースプロジェクトでセキュリティ上のインシデントが多数発生したこと、またオープンソースプロジェクトは予算が限られているために、広く普及しているセキュリティツールを利用していない場合が多いことが挙げられる。

 このリポートは、2500件以上のオープンソースプロジェクトから得た約100億行のコード(C/C++)と、企業で実施された匿名のサンプルプロジェクトを分析した結果に基づいて作成された。

欠陥密度の改善

 同リポートでは、2013年3月以降に「Coverity Scan」サービスの対象に加わった、人気の高いオープンソースのJavaおよびC#プロジェクトの分析結果を強調している。分析結果の詳細は以下の通りだ。

この記事を読んだ人にお薦めのホワイトペーパー

この記事を読んだ人にお薦めの関連記事

Loading

注目テーマ

ITmedia マーケティング新着記事

news136.jpg

Webとリアルでは戦う相手が違うから――正しく知りたい競合分析の進め方
前回は競合分析の必要性について述べました。今回はWebマーケットにおける競合分析の具体...

news040.jpg

Instagramに投稿されたユーザーの写真を広告に利活用、アライドアーキテクツがサービス提供
アライドアーキテクツは、ユーザーがInstagramに投稿した写真や動画などをSNS広告運用に...

news096.jpg

モリサワとさくらインターネットが協業、Webフォント30書体をレンタルサーバ利用者に無料で提供
モリサワとさくらインターネットが協業し、「さくらのレンタルサーバ」利用者に向け、モ...