Linux慈善基金会和美国哈佛大学自主创新科学实验室的研究人员开展了普遍调研和深层次研究，得到了相关公司内常见的完全免费开源软件(FOSS)的一些关键结果与潜在性安全隐患。
研究人员发现，因为缺乏对于FOSS组件的规范化取名计划方案，公司和其它公司股东无法迅速、精确地鉴别异常或易受攻击的组件。
次之，她们还发现，必须更为安全性地维护开发设计人员的账户，这些积极主动为一些普遍布署开源软件做出贡献的人员。第三个发现是，与别的较旧的硬件配置或软件开发技术一样，开源社区中的老版程序包日益风险。
《哈佛商学院》的共同编撰的者Frank Nagle专家教授说：“ FOSS组件几乎是全部第三方软件的基本，不论是对外开放的或是专用的，但人们对系统的常见性或安全系数信息内容了解很少。考虑到到了完全免费开源软件很有可能对社会经济形成的危害，但却非常少人充分考虑适用和保护这一关键基础架构的针对性工作中。”
在此项研究中，Linux慈善基金会和美国哈佛大学的研究人员剖析了企业管理软件的应用数据信息，这种数据信息由手机软件生成剖析企业和运用安全性企业给予，例如Snyk和Synopsys网络信息安全研究核心。在明确常见的开源软件时，研究人员考虑到了FOSS程序包或组件与其它公司应用软件和系统软件中间有可能具有的主从关系。
目地取决于明确和考量公司自然环境中较常用的FOSS，掌握此软件的安全系数等。FOSS组件几乎占公司目前已经应用的全部程序的80%至90%。虽然很多FOSS新项目有接纳安全大检查，可是许多都还没。
研究人员在近期公布的一份汇报上说，在例如OpenSSL之类的有小一部分推动者基本的常见新项目中，系统漏洞通常会被忽视。伴随着对FOSS的依靠日益提高，政府部门、研究人员和机构根据审批、系统漏洞悬赏金方案、网络黑客马拉松比赛和大会能够更好地掌握开源软件的主要来源和安全性。Nagle说：“第一步是要真真正正掌握公司所依靠的FOSS组件。不论是根据定时的网络检测和代码审计，或是根据其数据商品选用的手机软件材料清单。”
顶尖新项目和顶尖风险性
Linux慈善基金会与美国哈佛大学自主创新科学实验室的协同研究说明，公司内10个最经常使用的FOSS程序包是async，inherits，isarray，kindof，lodash，minimist，native，qs，readable-stream和string-decoder。研究人员还明确了最经常使用的非JavaScript软件包，主要包括com.fasterxml.jackson.core：jackson-core，com.fasterxml.jackson.core：Jackson-databind，com.google.guava：guava和commons -codec。
在明确了最重要的项目以后，研究人员下手找寻这种项目中最活泼的推动者，并明确了在其中约75%的企业主从关系。在研究全过程中，研究人员发现，最经常使用的七个开源软件新项目中的七个代管在开发设计人员个人账户上，其安全系数比公司账户最弱。汇报警示说：“个人账户的开发设计人员操纵和变更编码很容易完成，不用检验就可以开展。”
除此之外，依据研究人员的观点，对开发设计人员个人账户的进攻已经提升，运用账户接手、侧门和别的恶意程序等完成编码浏览的安全风险越来越大。Nagle说：“假如这类本人账户的储存库适用得话，可以实行两要素身份认证。”
本人账户操纵的常见FOSS的另一个隐患是开发设计人员，她们有删掉账户或删掉有争论和矛盾编码的决策权。Nagle强调：“更普遍和长久的解决办法是，将该类新项目迁移到公司账户，而不是由本人账户操纵，这有利于提高新项目的归责性和未来的易用性。”
研究说明， FOSS组件必须有更快的命名规范。Nagle表明，因为FOSS可以随意改动和拷贝，因而可以有好几个版本号，支系和相近名字的储存库。为了更好地进一步保证安全，关键的是对已经应用的FOSS组件状况及其适用和保护工作中有一个的共识。
研究人员的另一个发现是，与老版不会受到适用的系统或硬件版本号一样的是，老版开源系统组件也遭遇风险性。例如，Nagle强调了较常用的PuTTY SSH手机软件的0.70版，此软件于2017年7月公布。接近2年后，直到2019年3月此软件的升级0.71版才公布。像那样必备软件的升级和查验就可以处理普遍存在于代码库20很多年的安全隐患了。”