Исходное сообщение
"Google предложил SLSA для защиты от вредоносных изменений в ..." Отправлено Аноним, 21-Июн-21 11:28
>A. Включение в исходный код изменений, содержащих бэкдоры или скрытые ошибки, приводящие к уязвимостям. >Пример атаки: "Hypocrite Commits" - попытка продвижения в ядро Linux патчей с уязвимостями. >Предлагаемый метод защиты: независимое рецензирование каждого изменения двумя разработчиками. Достаточно устного приказа Лица, Принимающего Решения. В случае применения фреймворка - в том числе двум другим разработчикам приказа сказать "ОК". После этого всё остальное бессмысленно. >E. Продвижение вредоносного кода через некачественные зависимости. >Предлагаемый метод защиты: рекурсивное применение требований SLSA ко всем зависимостям (в случае event-stream проверка бы выявила сборку кода, не соответствующего содержимому основного Git-репозитория). Перевод на русский: "форкнуть и переписать всю софтварную экосистему под свои требования и использовать только свой софт. Чужие зависимости - не использовать". Нереально.

Ваше сообщение
Имя*:
EMail:	Для отправки ответов на email укажите знак ! перед адресом, например, !user@host.ru (!! - не показывать email). Более тонкая настройка отправки ответов производится в профиле зарегистрированного участника форума.
Заголовок*:
Сообщение*:	>>A. Включение в исходный код изменений, содержащих бэкдоры или скрытые ошибки, приводящие к уязвимостям. >>Пример атаки: "Hypocrite Commits" - попытка продвижения в ядро Linux патчей с уязвимостями. >>Предлагаемый метод защиты: независимое рецензирование каждого изменения двумя разработчиками. > Достаточно устного приказа Лица, Принимающего Решения. В случае применения фреймворка > - в том числе двум другим разработчикам приказа сказать "ОК". После > этого всё остальное бессмысленно. >>E. Продвижение вредоносного кода через некачественные зависимости. >>Предлагаемый метод защиты: рекурсивное применение требований SLSA ко всем зависимостям (в случае event-stream проверка бы выявила сборку кода, не соответствующего содержимому основного Git-репозитория). > Перевод на русский: "форкнуть и переписать всю софтварную экосистему под свои требования > и использовать только свой софт. Чужие зависимости - не использовать". Нереально.
	Введите код, изображенный на картинке: