Unsafe and Unused? A History of Utility Code in Mature Open Source Projects
Durch eine longitudinale Mining-Studie an sieben ausgereiften Open-Source-Projekten zeigt diese Arbeit, dass Dateien mit dem Namen „util" signifikant häufiger in Sicherheitslücken verwickelt sind und oft ungenutzt bleiben, was die Notwendigkeit unterstreicht, dass Entwickler die Sicherheit und Wartbarkeit solcher Utility-Code-Teile im Zeitverlauf erneut prüfen müssen.
Originalarbeit unter CC0 1.0 der Gemeinfreiheit gewidmet (http://creativecommons.org/publicdomain/zero/1.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich eine riesige, geschäftige Stadt vor, in der Tausende von Architekten und Bauarbeitern ständig an einem gigantischen, gemeinsamen Wolkenkratzer bauen und renovieren. Dieser Wolkenkratzer ist ein Open-Source-Softwareprojekt. In dieser Stadt gibt es eine besondere Regel: Immer wenn ein Bauarbeiter ein Werkzeug oder eine Funktion erstellt, die für jeden nützlich sein könnte – wie ein universeller Schraubenschlüssel oder ein Hauptschlüssel – wird er ermutigt, es in einen bestimmten, klar beschrifteten Raum namens "Util" (Kurzform für "Utility" bzw. "Hilfsprogramm") zu legen.
Die Idee ist großartig: Anstatt dass jeder Bauarbeiter seinen eigenen Schraubenschlüssel herstellt, greifen sie alle auf einen aus dem "Util"-Raum zurück. Das spart Zeit und hält die Dinge organisiert.
Aber ein Team von Forschern des Rochester Institute of Technology stellte eine einfache Frage: Was passiert eigentlich mit diesen "Util"-Räumen im Laufe der Zeit? Bleiben sie sicher und nützlich, oder werden sie gefährlich, chaotisch und ignoriert?
Um das herauszufinden, untersuchten sie sieben berühmte "Wolkenkratzer" (Softwareprojekte wie den Linux-Kernel, Django und Apache Tomcat) über einen Zeitraum von insgesamt 147 Jahren gemeinsamer Entwicklung. Sie betrachteten die Geschichte jeder Datei, jeder Umbenennung und jeder Sicherheitskorrektur. Hier ist das, was sie entdeckten, einfach erklärt:
1. Die "Util"-Räume sind überall (werden aber nicht immer genutzt)
Die Forscher stellten fest, dass "Util"-Räume sehr verbreitet sind. In einigen Projekten sind fast 20 % aller Räume im Gebäude als "Util" gekennzeichnet.
- Die gute Nachricht: Diese Räume werden stark genutzt. In einigen Projekten werden die Werkzeuge im "Util"-Raum 7-mal häufiger herangezogen und genutzt als Werkzeuge in normalen Räumen.
- Der Haken: Nur weil ein Raum als "Util" gekennzeichnet ist, bedeutet das nicht, dass er effizient genutzt wird. Manchmal erstellen Bauarbeiter einen neuen "Util"-Raum, nur um ihn später umzubenennen, weil er tatsächlich nicht nützlich war, oder sie geben ihn ganz auf.
2. Die "Util"-Räume sind unordentlicher (komplexer)
Wenn ein normaler Raum ein einfacher Schrank ist, ist ein "Util"-Raum oft ein chaotischer Workshop, gefüllt mit verwickelten Drähten und komplexen Maschinen.
- Die Studie ergab, dass in 6 von 7 Projekten die "Util"-Dateien signifikant komplexer waren als normale Dateien.
- Warum? Weil jeder dort seine "gemeinsamen" Werkzeuge ablegt. Im Laufe der Zeit werden diese Dateien mit zu vielen Funktionen aufgebläht, was es schwieriger macht, sie zu verstehen und sicher zu halten.
3. Die "Util"-Räume sind Teamarbeit (aber eine chaotische)
Man könnte denken, wenn eine Datei "Util" ist, weiß jeder, wie man sie benutzt. Die Studie untersuchte, wer an diesen Dateien arbeitete.
- Sie stellten fest, dass oft die Person, die ein Werkzeug im "Util"-Raum gebaut hat, nicht dieselbe Person ist, die es nutzt.
- Tatsächlich waren in den neuesten Daten über 57 % der Personen, die mit diesen Dateien arbeiteten, entweder nur für den Bau oder nur für die Nutzung zuständig, aber selten für beides. Es ist wie in einer Fabrik, in der die Leute, die die Maschinen bauen, sie nie wirklich bedienen, und die Leute, die sie bedienen, sie nie reparieren. Diese Trennung kann zu Verwirrung führen.
4. Die "Util"-Räume sind Gefahrenzonen (Sicherheitsrisiken)
Dies ist die wichtigste Erkenntnis. Die Forscher behandelten "Schwachstellen" (Sicherheitslücken) wie Risse im Fundament des Gebäudes.
- Der große Anstieg: In den frühen Tagen eines Projekts, wenn es nur sehr wenige Dateien gibt, ist eine "Util"-Datei bis zu 10-mal wahrscheinlicher mit einem Sicherheitsriss behaftet als eine normale Datei.
- Langfristig: Selbst wenn Projekte reifen, bleiben "Util"-Dateien riskanter. Die Studie ergab, dass "Util"-Dateien 2,75-mal wahrscheinlicher in eine Sicherheitskorrektur verwickelt sind als Nicht-"Util"-Dateien.
- Das Problem der "Wiederholungstäter": Wenn eine Sicherheitslücke in einer "Util"-Datei behoben wird, ist es sehr wahrscheinlich, dass sie erneut auftritt. Es ist wie das Stopfen eines Lecks in einem Rohr, nur damit dasselbe Rohr ein paar Monate später wieder platzt. Dies deutet darauf hin, dass das Team aus dem Fehler nicht lernt, vielleicht weil die Datei zu komplex ist, um sie ordnungsgemäß zu reparieren.
5. Der Linux-Kernel ist der Außenseiter
Die Forscher stellten fest, dass sich der Linux-Kernel (ein sehr stabiles, massives Projekt) anders verhielt als die anderen.
- Er folgte nicht den üblichen Trends. Seine "Util"-Dateien waren nicht unbedingt gefährlicher, und sie wurden nicht so oft umbenannt.
- Die Forscher vermuten, dass dies daran liegt, dass der Linux-Kernel so alt und stabil ist, dass er seine "Util"-Gewohnheiten bereits etabliert hatte, bevor die von ihnen untersuchten Daten überhaupt begannen. Es ist wie bei einem alten Gebäude, das so oft renoviert wurde, dass die ursprünglichen Baupläne längst verschwunden sind, aber die Struktur solide ist.
Das Fazit
Die Studie kommt zu dem Schluss, dass die Idee eines "Util"-Raums zwar gut ist (um zu verhindern, dass Menschen das Rad neu erfinden), diese Räume in der Praxis jedoch oft unsicher und schlecht gewartet werden.
- Sie werden zu komplex.
- Sie erhalten zu viele Sicherheitslücken.
- Die Leute, die sie bauen, und die Leute, die sie nutzen, sprechen oft nicht miteinander.
Der Rat für Bauarbeiter:
Kleben Sie nicht einfach ein "Util"-Etikett auf eine Datei und hoffen Sie auf das Beste. Wenn Sie ein Projektmanager sind, müssen Sie:
- Dokumentieren, was "Util" für Ihr Team tatsächlich bedeutet.
- Acht geben, dass diese Dateien nicht zu komplex werden.
- Besonders vorsichtig mit Sicherheitsprüfungen dieser Dateien sein, denn die Geschichte zeigt, dass sie am wahrscheinlichsten brechen.
Kurz gesagt: Eine Datei "Util" zu nennen, macht sie nicht zu einer magischen Lösung; manchmal macht es sie nur zu einem Hochrisiko-Ziel.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.