xblitz
Vedo che non potendo contestare i fatti passi agli insulti personali. I miei vent'anni di esperienza nella cybersecurity mi hanno fatto capire che non ci sono formule magiche per ottenere codice sicuro. C'è chi la pensa differentemente, evidentemente. Scoprirà la verità sulla sua pelle (o quella dei suoi clienti), prima o poi.
Tra l'altro citi Boeing che però è stato il più clamoroso caso di fallimento degli auditing interni degli ultimi anni, auditing che ha 'scippato' alla FAA e che ha causato due incidenti con centinaia di morti.
Di nuovo, quello che conta è la competenza di chi fa gli audit, e le risoorse e il tempo che ha a disposizione.E questo non dipende se è open source o no.
ErnyTech
Io direi che è il modello open source a non funzionare, se non in pochi casi come il kernel di Linux. Vedi i recenti casi di RedHat che blocca le distro downstream e HashiCorp..che cambia licenza, ultima di una serie di aziende che lo hanno fatto (Elastic, Mongo...). Il cloud ha evidenziato il problema di come fare profitti, e no, non si fanno con il supporto, citofonare RedHat...
Questo pone il problema anche di chi verifica il codice, quando ci sono miliardi e miliardi di linee di codice, chi assicura che siano tutte verificate da personale competente? Se usi del codice da GitHub, PyPi, o npm, chi ti si assi ura che sia stato correttamente revisionato? Che sia usato da migliaia di utenti non dà alcuna garanzia.
Certo ci si affida a strumenti automatici,,, che a loro volta possono essere di migliore o peggiore qualità, e non è detto che siano in grado di rilevare tutti i problemi. Al momento è uno dei grossi problemi dell'IT, tutto l'IT.
