С каждым годом открытого программного обеспечения становится все больше, что не может не радовать. С одной стороны, большое количество качественных проектов в сообществе — это очевидное благо. Но есть и обратная сторона медали: в open source-коде, как и в любом другом, существуют и годами живут уязвимости и ошибки. И если с последними уже научились как-то жить, то с уязвимостями поинтереснее будет.

Яркими примерами уязвимостей последних лет были уязвимости log4shell, spring4shell и иные. К уязвимым компонентам также безусловно относятся и protestware, ярким примером которого является пакет node-ipc. К этому добавляются атаки на Software Supply Chain Management, такие как Dependency Confusion и Typosquatting. Кроме того, :surprise:, не обходится и без человеческого фактора.

В докладе раскрывается роль композиционного анализа ПО (Software Composition Analysis, SCA) в практиках безопасной разработки с примерами проблем и их решениями.