가장 많이 쓰이는 오픈소스 라이브러리 순위: Census II of Free and Open Source Software — Application Libraries

 Harvard Laboratory for Innovation Science (LISH)와  Open Source Security Foundation (OpenSSF) 가 파트너십을 체결하여 조사(Census II)를 시행했다. 이 조사는 Free and Open Source Software (FOSS)의 사용에 대한 두 번째 조사이다. 본 포스팅에서는 초록을 번역하였고, 조사 결과에 따른 npm 패키지와 비-npm 패키지의 순위도 기재할 것이다(top 100까지) 본 연구는 Linux Foundation Research에 기재되어 있으며, 원문을 보고싶은 분은 아래의 링크로 들어가면 연구결과를 다운받아 볼 수 있다. Appendix에는 각 npm, Non-npm과 direct, indirect로 구분한 Top 500의 package들로 분류를 해놓았으므로 내용보다 순위가 중요하다면 보고서의 Appendix 부분만 참고하면 될 것이다.

https://www.linuxfoundation.org/tools/census-ii-of-free-and-open-source-software-application-libraries/

Harvard Census II of Free and Open Source Software - Linux Foundation

 

Reference

Nagle, F., Dana, J., Hoffman, J., Randazzo, S. & Zhou, Y. (2022). Census II of Free and Open Source Software — Application Libraries. n.p.: Linux Foundation Research.

 

초록 번역

FOSS는 현대 경제에 있어서 매우 중요한 파트가 되고 있습니다. 세계에는 수백만개의 FOSS프로젝트들이 존재하고 오늘날 SW와 제품들에서 다양하게 사용되고 있습니다. 그러나, FOSS는 중앙화 되는 것이 아닌 분산적으로 만들어지기 때문에 FOSS의 경제적 가치, 보안, 상태를 완벽하게 이해하는 것은 확실히 어렵습니다. 이렇게 개인이 분산적으로 FOSS를 개발하는 방식은 얼마나, 그리고 정확히 어떤 FOSS 프로젝트들이 널리 사용되는지 파악하기 어렵다는 단점이 있습니다. 이 FOSS의 단점들을 이해하지 못하는 것은 FOSS의 보안성을 증진시키고 싶지만 어디서부터 어떤 프로젝트를 건드려야 할지 모르는 사람들에게 있어서 심각한 문제가 됩니다. 이 문제는 Heartbleed 및 log4shell 취약성으로 인해 광범위한 주목을 받았으며, 이로 인해 수억 개의 장치가 악용될 수 있는 가능성에 노출되어 있습니다.

이 보고서는 FOSS의 사용에 대한 가장 큰 두 번째 조사이며, 수천 개의 회사의 production applications 프로그램에 사용된 50만 개 이상의 FOSS 라이브러리 관찰로부터 데이터를 취합하여 응용 프로그램 라이브러리 수준에서 가장 일반적으로 사용되는 FOS 패키지를 밝히는 것을 목표로 하게 됩니다. 이러한 노력들은 저번 조사에서 (여기 일단 생략). 이 조사에 대한 이해는 FOSS 패키지들로 하여금 현재 널리 사용되고 있는 SW안에서 FOSS적 자원을 사용하는 것에 대한 보안 이슈에 대해 상기시켜줍니다.

이 Census 2의 결과물들은 오픈소스 연구에 대한 생태계를 더욱 진보시키기 위해 하버드 대학과 협력관계를 맺은 Snyk, the Synopsys Cybersecurity Research Center (CyRC), and FOSSA를 포함한 Software Composition Analysis(SCA) 회사들과 협력하여 데이터를 활용하였습니다. 우리의 목표는 단순히 FOSS가 얼마나 많이 사용되는지 조사하는 것뿐만이 아니라, 어떻게 분산된 FOSS의 환경들 에서 진정한 FOSS 생태계의 보안성과 가치를 이해하는 것에 있어서 다자간의 노력이 필요하다는 예시를 보여주는 것입니다. 오직 데이터 공유, 조정 및 투자를 통해서만 디지털 경제의 이 중요한 구성요소의 가치는 다음 세대에 걸쳐 보존될 것입니다.

보고서에 작성된 FOSS사용의 자세한 결과에 더하여, 연구팀은 다섯가지의 높은 수준의 조사 결과를 찾아냈습니다. 1) 소프트웨어 구성 요소를 위한 표준화된 작명 스키마의 필요성 2) 패키지 버전과 관련된 복잡성 3) 가장 널리 사용되는 FOSS의 대부분은 소수의 기여자들에 의해 개발된다는 것 4) 개인 개발자 계정 보안의 중요성 증가 5) 오픈 소스 공간에서 레거시 소프트웨어의 지속성.

 

NPM Package

Non-Npm Package