Fifty Years of Open Source Software Supply-Chain Security
8 months ago
- #software-security
- #supply-chain
- #open-source
- 美国空军1972年评估霍尼韦尔Multics系统时，认为其优于同类但存在安全隐患，暗示可能留有后门
- 2024年安德烈斯·弗伦德发现liblzma库后门（XZ攻击事件），导致Debian Linux的ssh守护程序遭入侵
- 软件供应链安全问题具有基础性和长期性，需要持续加强防御体系建设
- 开源软件供应链攻击指在可信软件交付前植入恶意代码的行为
- 第三方开源组件漏洞可同时威胁开源和闭源软件安全
- 核心防御措施包括软件身份认证、构建可复现性及漏洞快速响应机制
- 预防漏洞需精简非必要依赖项并采用更安全的编程语言
- 开源项目资金不足易受攻击，XZ攻击事件即典型例证
- XZ攻击采用社会工程学手段，攻击者耗时数年获取信任后植入恶意代码
- 保障开源开发资金对预防漏洞至关重要，但具体解决方案仍待探索