简介： 开发者、组织、业界机构的共同努力，让开源我的项目和社区，乃至整个世界变得更加平安。
在前不久的上海外滩大会上，蚂蚁资深技术专家、Kata Containers 创始人王旭向参会者分享了开源、凋谢合作与软件平安可信的话题，本文依据演讲内容编辑整理而成。
明天，我想在这里和大家探讨开源与平安的话题。在过来，人们始终有一些疑难：开源是否比闭源更平安？开源我的项目如何保障本人的平安？如何通过开源社区促成业界改善安全性？
这里，我将以 Kata Containers 我的项目以及蚂蚁基础设施团队的实际为例，对这些问题做一些探讨，来看看社区和业界是怎么做的。
开源我的项目如何保障安全性？
首先是开源比闭源更平安吗？
你可能从哪里据说过：开源软件相比闭源软件的一个优越性在于，开源软件更平安。
开源静止的一位颇具话题性的晚期领军人物 Eric S·Raymond，在他的著述《大教堂与集市》中写道：
“在一群足够多的 beta 测试者与独特开发者的状况下，简直所有问题都能够被疾速定位，并且由某个人迅速解决。”
“有些所谓平安零碎，只有在其不为人所知时才是平安的，当心这些虚伪的隐秘性。”
这些论点简直是无可辩驳的。然而，争执就在于——开源是否意味着更多业余的 review，更多的人看到代码甚至是发现破绽了，他们是否会第一工夫来帮忙开源我的项目改善品质而非第一工夫利用破绽进行入侵？开源我的项目是如何第一工夫解决破绽的？
上面让咱们来看一个例子。
这是 Kata Contaienrs 我的项目的 VMT 流程图，形容了我的项目破绽事件响应团队接管到平安报告后是如何解决的。
所谓 VMT，是 Vulnerability Management Team，这是一个应答安全事件的“特权”工作组，成熟的、社区化的开源我的项目都有这样一个外围团队。当平安钻研人员发现在他们的钻研中发现我的项目存在安全漏洞的时候，会向 VMT 工作组收回报告，而 VMT 收到之后，会在寻求修复计划的同时，对问题进行评估、去权威机构调配 CVE 编号，在 patch merge 之后，还须要确保次要用户的平安，而后再对外公开修复信息。
这里的一个关键点是，开源我的项目 VMT 团队和平安人员的配合。 只有标准运作的开源我的项目和白帽子们良好互动，能力真的做到第一工夫修复破绽、爱护用户，而不是放出 0 -day 破绽。这两头的响应流程，即便对于“开源”软件，也是不凋谢的。
所以，这里咱们的论断是—— 不是你把代码放在 GitHub 上开源了，平安就随之而来了，你要有吸引平安人员的沉闷社区和能够响应问题的机制。 这里咱们晓得，有些个人化的开源我的项目是没有这样的响应机制的，这样的开源我的项目并没有让用户失去平安，相同，一旦有大量用户应用，失去的是很多惊险。
VMT 机制保障了开源我的项目自身的平安，那么，在一个宏大的开源社区，比方云原生社区，它由数量繁多的开源我的项目组成生态，对于社区的整体安全性，还会有哪些乏味的互动呢。
如何晋升开源社区的平安水位
开源的一个便当之处就是，如果你感觉哪里不够好，能够本人去补救。在云原生 landscape 里，搜一下平安相干的品类，立即能够失去一大片的开源平安组件或工具：
须要阐明的是，这些我的项目不是事后设计的指标，而是社区互动产生的后果。它们反映了一个自组织生态里的演变法则，而不是操作守则。在开源合作里，这样的我的项目会天然的涌现进去。
这里，我想以 Kata Containers 为例，来介绍下如何开发一个开源我的项目并融入社区。
首先我先来简略介绍一下 Kata Containers——
Kata Containers 首先是一个容器运行时引擎，在生态中的地位和 runc 是统一的。然而，和 runc 不同的是，Kata 用轻量级虚拟化技术来做隔离，这个强隔离带来的不仅是平安隔离，也包含性能隔离和故障隔离。
不过我要强调的一点是，Kata 依然是一个容器引擎，在零碎中是齐全对等替换 runc 的，对云原生利用来说，它是齐全通明的，即便从性能和开销角度说，咱们也曾经对它进行了很多轻量化的革新。
所以，咱们说，它同时兼有虚拟机和容器两者的长处，secure as VM, fast as containers。
三年来，Kata Containers 最让我感到自豪的，是通过开源社区，咱们撬动了社区里的其余大玩家，晋升了整个云原生世界的平安水位，利用凋谢合作晋升了云原生畛域的安全性、改善了社区的信赖。
Kata 创建之前的虚拟化容器技术的倒退并不快。2015 年上半年，咱们就开源了 hyperContainer 和 runV，Intel 也同时开源了 clear containers。不过，过后咱们的影响还是十分无限的，想退出 CNCF 都被拒之门外，但咱们还是在 Kubernetes 社区里制作了一些影响。比方在 2016 年的时候，咱们和 kubernetes node 团队一起推动了 CRI 接口，来抽象化容器引擎。
2017 年 9 月份，我在一个会议上遇到过后 Intel OTC 的时任 GM，也是 Intel 的 SSP VP, Imad Sousou，咱们决定一起单干一个开源我的项目，在基金会的帮忙下，咱们一起工作了三个月，最终在 2017 年 12 月的 KubeCon 大会前一天，公布了 Kata Containers 这个我的项目。
随后的故事能够用峰回路转来形容，在 2018 年上半年，也就是紧接着 Kata 公布之后的下一次 KubeCon，Google 公布了 gVisor 平安容器我的项目，再之后半年，在 2018 年 AWS 公布了轻量虚拟化 VMM FireCracker，并援用了 Kata Containers 我的项目来做比照。而在这之间的 2018 年中，Google 推动 containerd 改良了 Shim API，来进一步让平安容器能够和 runC 一起被反对，随后这个被称为 shim-v2 的 API 也失去了 CRI-O 的反对，加上 RuntimeClass 和其余一些改良，能够说，2018 年是平安容器的暴发年。
明天，Kata 领有了不小的用户社区，失去了 RedHat，SuSE 和 Ubuntu 三大支流 distro 的反对，也在很多不同行业进入了生产之中，不仅咱们蚂蚁、阿里用上了，百度的 Kata 案例也在去年的 OpenInfra Summit 上失去了超级用户大奖，在往年 10 月 19 日的 OpenInfra Summit 大会上，我在 Keynote 里会正式发表 Kata Containers 1.x 在 12 个稳固公布之后，正式公布 2.0 版本。不仅 Kata，Google GKE 的用户还能够用上 gVisor，它帮忙用户躲过了前不久的 CVE-2020-14386 破绽。
能够说，开源的力量就在于此——代码只是它对世界的影响力的冰山一角，在水面之下的哪些凋谢合作和互动，让社区的用户受害，失去了更多的好我的项目，让社区向更好的方向倒退。
基金会如何让开源世界更平安？
要想促成整个开源世界的平安，开源社区的治理组织不能不提。其中，基金会不仅能够接收平安我的项目，还能够平安为目标建设基金会，将天南海北的开发者汇集到一起，攻克独特的平安课题，也是开源平安的重要一环。
让咱们以 Linux 旗下的秘密计算联盟 CCC 为例来阐明，蚂蚁通过将我的项目募捐给 CCC、参加这样的组织从而对开源社区的平安作出贡献。
在数据安全和隐衷爱护越来越受到重视的明天，秘密计算（Confidential Computing）是一个具备广泛应用前景的前沿技术畛域，可信执行环境（Trusted Execution Environment）作为其重要分支，受到业界科技巨头的器重。
秘密计算联盟就是在这样的背景下诞生的，CNCF 中国区总监 Keith Chan 通知咱们：CCC 的工作和指标之一是在私有云上实现秘密计算，这样咱们能够做到以前无奈做到的事件，其中比拟典型的就是在云上运行敏感数据的计算，秘密计算将作为平安体系的外围伎俩来爱护这些敏感数据。
要实现这一指标并不容易，因为秘密计算依然处于晚期，业界鲜有利用，几家企业各自推动本人的研发利用，但难以对业界造成示范效应。因而须要基金会这样的组织来推动这一过程。
CCC 心愿通过开源开发的准则汇集全世界的人一起来共建秘密计算的技术和平台，具体的做法包含：
- 定义秘密计算，并通过开源的办法让全世界的人能够参加，构建生态圈，放慢进步市场的接受度和采用率；
- 通过开源的办法简化企业对秘密计算利用的开发和治理；
- 定义一些根底的服务和框架，并让开发者可能释怀地采纳这些技术。
作为 CCC 要害成员的蚂蚁团体也将捐献 Occlum LibOS，这是来自中国的第一个秘密计算开源我的项目，也是目前易用性最好的秘密计算 LibOS。
通过将其捐献给基金会，Occlum 将成为社区主导的开源我的项目，将吸引更多业界专家共建，并将和社区其它开源我的项目单干，如与 HyperLedger 的 avalon 我的项目的单干，在更宽泛的利用场景中落地。
另外，不仅仅是 Occlum，蚂蚁团体还正式开源了 KubeTEE，解决秘密计算在集群中的问题，还有正在研发中的 HyperEnclave，解决 TEE 部署环境问题。这些秘密计算的组件，也是蚂蚁对晋升整个社区和业界的安全性所做的致力。
正是有开发者、组织、业界机构的共同努力，才让开源我的项目和社区更加平安，而更平安的开源社区，也将让整个世界变得更加平安。