Beim Vergleich zwischen kommerzieller Software und Open-Source-Projekten zeigt sich, dass kommerzielle Software Compliance-Standards wie dem Top 10 des Open Web Application Security Projects (OWASP) und dem 25 Common Weakness Enumeration (CWE) besser entspricht als Open Source. Das zeigt der aktuelle von Synopsys veröffentlichte Coverity Scan Open Source Report 2014. Dieses Ergebnis ist insofern überraschend, als Open-Source-Software seit 2013 eine geringere Fehlerdichte als kommerzielle Software aufweist und diesen – wenn auch abnehmenden – Vorsprung 2014 verteidigt hat. Für den aktuellen Coverity Scan Open Source Report wurden ca. 10Mrd. Codezeilen mithilfe des Coverity Scan Service und der Synopsys Coverity Software Testing Platform analysiert. Die Analyse umfasst mehr als 2.500 C und C++ Open-Source-Projekte sowie eine Auswahl kommerzieller Projekte. Hinzu kommen Ergebnisse von beliebten Open-Source-Projekten in Java und C#, die seit März 2013 Bestandteil des Reports sind. Die Ergebnisse des Reports zeigen, dass die Fehlerdichte (Anzahl der Fehler pro 1.000 Codezeilen) von Open Source und kommerziellen Code sich seit 2013 verbessert hat. Außerdem bleibe Linux Maßstab bei der statistischen Analyse der Fehlerdichte. 2014 unterstützte Linux Coverity Scan dabei, über 500 kritische Fehler ausfindig zu machen und zu beseitigen, beispielsweise Ressourcenlecks, Speicherabweichungen und nicht initialisierte Variablen. Insgesamt habe die Softwarequalität und -sicherheit zugenommen. Allerdings seien weder Open Source noch kommerzielle Standards vollständig und eindeutig in der Lage, alle Gefährdungen zu verhindern. Da Softwareprojekte schneller als je zuvor auf den Markt gebracht werden, müssten Entwickler ein Gleichgewicht zwischen Sicherheit und Geschwindigkeit finden, so Zack Samocha, Marketingdirektor für die Software Integrity Group bei Synopsys. Mit Button-Klick gelangen Sie zur Website von Synopsys, wo sie den Coverity Scan Open Source Report herunterladen können.
Synopsys Inc.
