50年にわたるオープンソースソフトウェアサプライチェーンのセキュリティ：Multicsからxz攻撃まで

この記事は、過去50年間にわたるオープンソースソフトウェアサプライチェーンセキュリティの課題を探ります。1974年のMulticsセキュリティ評価で特定された潜在的なバックドアから、2024年のxz圧縮ライブラリのバックドア攻撃まで、問題は依然として存在しています。Goプログラミング言語の中核開発者であるRuss Coxは、自身の経験と業界の事例に基づいて、ソフトウェアサプライチェーン攻撃と脆弱性の定義、ソフトウェアサプライチェーンの複雑さ、防御を強化する方法について議論しています。これには、ソフトウェア認証、再現可能なビルド、脆弱性の迅速な発見と修正、脆弱性の予防戦略などが含まれます。この記事は、オープンソースソフトウェアの資金不足を強調し、プロジェクトを悪意のある行為者に対して脆弱にしていることを、xz攻撃を例に挙げて説明しています。最終的に、著者は、進化する脅威に対処するために、オープンソースの資金増加とセキュリティの改善を訴えています。