开源软件供应链安全：半个世纪的挑战与应对

从1974年Honeywell Multics系统安全审查报告中关于“后门”的担忧，到2024年针对Debian系统的XZ攻击，开源软件供应链安全问题持续困扰着我们。本文探讨了这个问题的复杂性，它不仅仅是依赖关系图那么简单，还涉及软件构建、分发过程中的各个环节以及人员因素。文章提出了多种解决方案，包括软件认证、可复现构建、快速发现和修复漏洞，以及使用更安全的编程语言，并强调了开源项目资金支持的重要性，因为资金不足会导致项目被恶意控制。XZ攻击就是一个警示：看似简单的“免费帮助”可能隐藏着巨大的风险。