何东杰 匡翔宇 王 琪 刘为怀 蒋丹妮 杨 洁

1(中国银联电子商务与电子支付国家工程实验室 上海 201201)2(复旦大学计算机科学技术学院 上海 200433)

0 引 言

随着开源软件的不断发展和完善，其地位日益重要，金融企业在生产环境中不可避免地需要使用开源软件。虽然开源软件的源代码可见，但是由于未参加开发过程，其质量无法评估，这与金融行业对于软件安全性的极高要求相违背。

本文从开源软件导致的安全问题入手，目标在于减少金融公司使用开源软件的风险。开源软件的安全问题中一个重要部分就是漏洞风险。由于无法预测在将来会不会爆发漏洞，在漏洞曝光后及时地分析处理是十分重要的工作。企业用户需要及时获取到漏洞信息，并评判其风险，才能做出正确的对策。

开源软件在开发、维护方式上与闭源(商业)软件有很大的不同，在漏洞风险的评判上要根据其特性捕获更多的信息[1]。首先，开源软件开发速度较快，必须不断追踪和整合包含安全补丁的新版本。其次，开源软件的漏洞常常直接公布而没有提前通知使用方，因此，用户必须时刻保持警惕，做好修复漏洞的准备[2]。最后，开源组件之间具有较强的依赖性，该组件本身可能没有漏洞，但是其依赖的组件有漏洞[3]。

开源软件的漏洞需要考虑漏洞的属性和软件的属性。传统的软件度量模型包括软件成熟度评估模型和开源软件评估模型。目前主流的模型有OpenBrr、QSOS和OSMM等。本文将逐一论述其模型中的安全性部分的特点和缺陷，并借鉴它们的思想构建评估模型。……