Ніхто не аналізує lockfile-файли вручну. Ми свідомо обираємо кілька бібліотек для проекту, а все, що знаходиться під ними в дереві залежностей, з'являється автоматично завдяки резолверу пакетів. Ці транзитивні залежності оновлюються ботами, і на них більше ніхто не дивиться. Саме тут на сцену виходить питання безпеки ланцюга постачання програмного забезпечення.
Supply chain security допомагає відповісти на два критичні питання: що насправді знаходиться у ваших залежностях, і чи прийшли вони саме тим шляхом, яким ви очікували. Навіть свіжий проект може мати десятки непрямих залежностей від однієї встановленої бібліотеки. Це створює величезну поверхню атаки, про яку розробники часто навіть не здогадуються, довіряючи автоматизованим інструментам керування пакетами.
Це адаптований дайджест українською, а не повний передрук статті.
Джерело: Dev.to DevOps
Залишити відповідь