存储开源，风雨飘摇下“披着羊皮的狼”？

科技云报道原创。

这些年开源界的风风雨雨，时不时撼动着人们的内心。

2022年，俄乌冲突导致全球最大的独立开源软件公司SUSE、美国开源软件巨头Redhat、主流开源容器引擎Docker，纷纷宣布停止与俄罗斯的合作。

而全球最大的开源及私有代码项目托管平台Github甚至直接限制所有俄罗斯开发者访问开源存储库。

同年，开源软件JavaScript被植入恶意代码，根据判断是否为俄罗斯IP地址，删除用户的任意文件内容并替换为心形表情符号。

将目光再往前拉远，在2021年末，Apache开源日志记录框架log4j爆发可载入史册的核弹级漏洞，攻击者仅需一行代码便可不留痕迹地控制并接管服务器，导致90%的java开发平台遭受危机。

覆巢之下，焉有完卵？一向推崇“自由、平等、相互尊重”原则的开源技术，在复杂国际环境叠加天生残缺的安全性时，早已变得混沌不清。

重重迷雾之下，这些令人胆战心惊的记录，让开源界一次次感到震惊的同时，也为崇尚开源的中国企业敲响了警钟。

在当今中国发展格局之上，数据存力建设的重要程度不言而喻。存储既是数字世界生生不息的最关键载体，更是守护数据安全与信息资产的最后一道防线。

然而，事实令人些许悲观。

多年以来，中国信息存储技术仍落后于西方。那些被称为“国产”的存储中，又有一大半是基于Ceph、Lustre等国外开源技术进行二次开发，正在大行其道、充斥于世。

在中国飞速向前奔跑的背影中，这种颤颤巍巍的技术堆栈方式，并不在少数。

危机之下，作为中国数字产业根基的存储，眼前横亘着一场叩问灵魂的兴衰战役。到底有多少国产存储在“挂羊头、卖狗肉”？开源存储又该何去何从？

“披着羊皮的狼”  何时露出凶光？

众所周知，存储是一门技术艰深的领域，任何一家企业想要自研一款存款产品，往往需要长达十余年的技术研发积累。

但随着开源技术的爆发，Ceph、HDFS、Swift、Lustre、GlusterFS等国外开源技术的涌现，让很多国内创业公司以及缺乏足够技术底蕴的企业，在短短几年内就摘得了分布式存储这一新船票。

不仅如此，这些公司的做法也十分粗暴。

他们通过对Ceph等开源代码简单的包装、套壳等手段，实现了所谓的“自研”存储，并以商业软件的名义对外出售。

早在2015-2016年，国内诞生了一批这样的国产存储创业公司，比如业内较为知名的X公司、S公司，都美曰其名“自研”，但实际上“自主可控”的成分有多少，恐怕只有厂商自己清楚。

一浪高过一浪，在看见有人尝到开源存储的甜头后，国内不少大厂居然也加入了分布式存储的阵营。

但苦于传统存储技术积淀薄弱，又急于抢占新的市场份额，这些大厂的做法就更为直接。

典型如L厂、X厂，就通过加入Ceph等开源基金会、对Ceph等开源代码进行二次开发和优化、不断提升对各主流开源社区贡献度的方式，来快速获取分布式存储的市场地位。

毕竟，来不及投入工程师人力潜心开发，那站在国外开源巨头的肩膀上踮踮脚，就成为一条捷径。

尽管借助开源能够在短时间内解决“从无到有”的问题，但是开源存储软件面临的商业化与安全挑战，并不是一时半会儿能解决的。

首先，开源存储代码漏洞频发，被攻击的风险持续加大。

根据美国新思科技（Synopsys公司）的《2023年开源安全和风险分析报告》统计，在审查的1700多个商业软件代码库中，96%包含开源代码，84%代码库有漏洞，且高达48%包含至少一个高风险漏洞。

我们观察到，自2016年以来，国际最权威的漏洞披露社区CVE官网上，已公开的Ceph严重级漏洞高达45个，而Ceph官网显示这些漏洞已修复的数量仅31个。

这个数据令人担忧，就好比一座跨越峡谷却未修建妥善的栈桥，当勇士们大步流星时突然踩空，便坠入峭壁下的万丈深渊。

在已披露的中高风险与严重风险评级漏洞中，最典型的是这三大类：密码/密钥未进行加密便直接存储，导致敏感信息极容易被泄露、被入侵者利用；访问接口时缺少完整的认证和授权，导致任何人都可以随意进行数据访问；采用易受攻击的公开协议或操作系统，大幅增加了利用已知漏洞攻击系统的风险。

这很难不怀疑，Ceph自身在数据机密性、访问控制、软件级运行安全方面存在难以预知的缺陷，存储层引发的数据丢失及服务不可用的可能性不言而喻。

同时，Ceph引用了大量老旧开源软件，很多漏洞未被解决。有开发者分析过Ceph V17.2.1版本，发现其直接或间接引入了50多款开源软件。

由于社区对老版本几乎不会投入资源进行维护，未被及时修复的安全漏洞和严重功能问题，都有可能被利用成为被攻击对象。

与对单个端点或服务器的网络攻击不同，针对存储系统的攻击具有更大的破坏性，一个存储系统的漏洞就可能导致数千台服务器停机，业务中断若干小时或若干天，并清除数PB的数据。

过去三年，针对企业数据的勒索软件攻击的日益增加，这是一个可怕的前景。

其次，开源存储代码漏洞披露不可控。

2022年6月，美国商务部工业和安全局（BIS）针对网络安全领域的出口管制要求表示，在美国实体与中国政府相关的组织和个人合作时，若发现安全漏洞和信息，禁止直接公布，必须先经过美国商务部审核。

Ceph作为开源存储软件的代表，自然也被要求遵循这条新规。

从历史上看，Ceph每年都有近10个中高风险漏洞披露，这意味着从此之后，任何漏洞信息都几乎无法被国内存储客户所知晓并修复，妄图从根源上主动管理更是化为泡影。

可以说，中国大量采用Ceph系统作为数据底座的企业们，正在风云莫测的国际形势中面对“数据裸奔”的无声威胁。

这自始至终是一场不对称信息打击的同台竞技，更是一场中国企业捆绑着定时炸弹的缚足攀岩。

最后，开源存储软件无法持续演进的可能性大。

Ceph被美国Redhat收购后，法律仲裁归属美国加州，Ceph属于Linux社区的特例，受到美国出口管控。

目前，美国仍在进一步加强开源软件的保护及管控，美国白宫与开源组织、科技巨头共同推动1.5亿美元开源软件保护计划，以加强美国的开源安全。

这一系列动作都让人明白了那句话——代码无国界，但写代码的人有国界。从俄乌冲突经验来看，政治原因已经导致开源软件不再可用，Ceph为首的开源存储软件也存在断供与卡脖子的风险。

如果国内关键基础设施的存储系统使用Ceph来构建，那么极有可能无法获得后续更新迭代，全数据业务系统随时可能面临断供，对将来的工具更新、平台演进、甚至国家核心技术的发展都将造成极高威胁。

如同高悬在头顶上的达摩克利斯之剑，让人不寒而栗。

固守还是激变？国产存储更需“国魂”

在国家数字经济发展大战略下，数据作为生产要素已成为重要资产，数据存力作为数据基础设施的核心组成部分，支撑着全国数据价值的释放，更事关国家的信息安全。

因此，今年两会上，就曾有人大代表呼吁加快“国芯国魂”产品的应用，破解“卡脖子”问题：“我国要有独立的存储产业‘强链补链’规划，构建存储产业生态体系和产业链，并加速自主创新能力提升、国芯国魂产品应用，实现真正自主可控”。

尽管理想丰满，但打造“国芯国魂”的数据基础设施并不能一蹴而就，而是需要政产学研用的多方合力：

政策层面，推进先进自主自研产品的应用，建立开源软件供应链安全治理机制，势在必行。

农工党对此提出过四大建议：一是，在新型数据中心、关键信息基础设施等建设中鼓励使用先进自主自研存储产品，限制国外开源代码（Ceph、Lustre等）使用比例；二是，健全漏洞风险的自主治理能力；三是，建立软件产品安全可信测评体系；四是，积极推进具有检测技术和检测能力的存储认证机构的建设。

也有专家建议，在涉及到国家关键信息基础设施建设的领域设置准入机制，慎重使用没有掌握核心技术的供应商。对于那些掌握核心代码、具有安全管控能力的厂商，可以予以更多支持。

产业层面，存储厂商及相关研究机构应唤醒自主创新、自研可控的意识。

例如，在存储软件的开发、维护等活动中做好安全需求分析、安全设计、安全编码、安全测试、漏洞修补等工作，真正做到清本溯源，掌握核心代码，提高产品安全能力，实现存储产品的可信安全。

用户层面，建立软件供应链安全全流程治理体系，提升自身的软件安全治理能力，成为大势所趋。

企业用户必须意识到，在信息技术发展、稳定夯实数据基座的征程之上，唯有“国芯国魂”的数据基础设施才能作为我国信息发展的重要引擎。

所以，有计划、分批次、逐步替换Ceph等开源存储软件，需要各行各业的持续与坚定。

在破除开源Ceph的桎梏后，存储还需进一步摒弃软硬解耦建设，转向软硬一体的全栈自主可控。

这才称得上是真正的“国芯国魂”数据基础设施，从根本上摧毁数字时代的“特洛伊木马”。

所有人都知道，这是一件艰难而正确的事，但正如荀子所言“先义而后利者荣”，挣脱开源基础设施的枷锁，将为国家与时代筑起一条护城长河。

结语

天下从来没有免费的午餐。风雨飘摇中，那些披着开源外衣的“国产”存储产品并没有想象中的那么安全。

如今，在以基础软硬件替代为重点方向的新一轮自主可控浪潮正在掀起。

我们坚信，不久的未来，在企业用户和科技厂商彼此信任地携手中，将迎来真正的“国芯国魂”。

生成海报

免责声明：本网站内容主要来自原创、合作伙伴供稿和第三方自媒体作者投稿，凡在本网站出现的信息，均仅供参考。本网站将尽力确保所提供信息的准确性及可靠性，但不保证有关资料的准确性及可靠性，读者在使用前请进一步核实，并对任何自主决定的行为负责。本网站对有关资料所引致的错误、不确或遗漏，概不负任何法律责任。任何单位或个人认为本网站中的网页或链接内容可能涉嫌侵犯其知识产权或存在不实内容时，应及时向本网站提出书面权利通知或不实情况说明，并提供身份证明、权属证明及详细侵权或不实情况证明。本网站在收到上述法律文件后，将会依法尽快联系相关文章源头核实，沟通删除相关内容或断开相关链接。