50年开源软件供应链安全：从Multics到xz攻击

本文回顾了50年来开源软件供应链安全面临的挑战。从1974年对Multics系统的安全评估报告中发现的潜在后门，到2024年xz压缩库中的后门攻击，软件供应链安全问题始终存在。作者Russ Cox，Go语言核心开发者，基于自身经验和行业案例，探讨了软件供应链攻击和漏洞的定义、软件供应链的复杂性，以及增强防御能力的方法，包括软件认证、可重复构建、快速发现和修复漏洞以及预防漏洞等策略。文章强调了开源软件资金不足的问题，这使得开源项目容易受到恶意行为者的攻击，并以xz攻击为例说明了这一点。最终，作者呼吁加强开源软件的资金支持和安全实践，以应对不断变化的威胁。