Honoでのサプライチェーン侵害対策〜 3つのライブラリに学ぶ

044։ൃऀ͸ࠓԿΛ͢Δ΂͖͔ʁιϑτ΢ΣΞαϓϥΠνΣʔϯ৵֐ରࡦΛߟ͑Δ +VOF )POPͰͷαϓϥΠνΣʔϯ৵֐ରࡦ ʙͭͷϥΠϒϥϦʹֶͿ :VTVLF8BEB

.F w :VTVLF8BEB w %FWFMPQFS"EWPDBUF!$MPVE fl BSF w $SFBUPSPG)POP w
IUUQTHJUIVCDPNZVTVLFCF The Melancholy of an OSS Developer

࠷ۙ044ք۾ͷ࣏͕҆ѱ͍

"*ͱαϓϥΠνΣʔϯ߈ܸ w "*εϩοϓ໰୊ w ௿඼࣭ͳ13ɺηΩϡϦςΟϨϙʔτͷ ૿େɺόάό΢ϯςΟͷແՁ஋Խ w αϓϥΠνΣʔϯ߈ܸ w 044ͷϥΠϒϥϦ΍πʔϧʹѱҙͷ͋Δ
ίʔυΛࠞೖ͞ΕΔ IUUQT fi OEZDPEFJPNFEJBBSUJDMFTJOUFSWJFXZVTVLFCF "*εϩοϓ໰୊ʹ͍ͭͯ͸ͪ͜Β ࠓ೔͸͜͜ʹϑΥʔΧε

ൃ୺ IUUQTYDPNZVTVLFCFTUBUVT

͍͔ʹʮϥΠϒϥϦଆʢ)POPʣ͕ αϓϥΠνΣʔϯ߈ܸΛ͠ͳ͍ʯͨΊͷ࿩

ΞδΣϯμ w )POPͷݱঢ় w ৵֐Λड͚ͨͭͷϥΠϒϥϦ w ͭͷܦ࿏ w )POPͰͷରࡦ w
ͦͷଞͷରࡦ w ͜Ε͔Β

)POPͷݱঢ়

౷ܭ w (JU)VC IPOPKTIPOP ελʔ਺L w OQN AIPOPA μ΢ϯϩʔυ਺. ԯສ
͔݄

ґଘؔ܎ w ґଘ͞Ε͍ͯΔ਺ w ࢖͍ͬͯΔϓϩδΣΫτྫ w .BTUSB.$14%, !NPEFMDPOUFYUQSPUPDPMIPOP "TUSP
EFW%FQFOEFODJFT 'MVF7PJE$MPVE fl BSF"HFOUT4%,

ͨ͘͞Μ࢖ΘΕ͍ͯΔ ੹೚ॏେ

৵֐Λड͚ͨͭϥΠϒϥϦ

ͭͷOQNϥΠϒϥϦ͕৵֐Λड͚ͨ w ͭͷOQNϥΠϒϥϦ ܈ ͕৵֐Λड͚ͯαϓϥΠνΣʔϯ߈ܸͷର ৅ʹͳͬͨ BYJPT 5BO4UBDL
.BTUSB

BYJPT w /PEFKTͷ)551ΫϥΠΞϯτ w ABYJPTA w ೥݄ʹ৵֐͞ΕΔ

5BO4UBDL w 8FCΞϓϦΛ࡞ΔͨΊͷϥΠϒϥ Ϧ܈ w 5BO4UBDL3PVUFS5BO4UBDL 4UBSU5BO4UBDL2VFSZFUD w A!UBOTUBDLSFBDURVFSZAFUD w
೥݄ʹ৵֐͞ΕΔ

.BTUSB w "*ΞϓϦ޲͚ϑϨʔϜϫʔΫ w A!NBTUSBDPSFAFUD w AIPOPAʹґଘ͍ͯ͠Δ w ೥݄ʹ৵֐͞ΕΔ

ͲΕ΋Ϛϧ΢ΣΞΛOQNύοέʔδʹࠞೖ͞Εͨ ͦΕͧΕҟͳΔܦ࿏ͳͷͰݟ͍ͯ͜͏ Ϣʔβʔ͕Ͳ͏͍͏ඃ֐ʹ͋͏͔ɾରࡦͳͲ͸ѻΘͳ͍

ͭͷܦ࿏

BYJPT ϝϯςφͷݸਓΞΧ΢ϯτͷ৐ͬऔΓ

߈ܸऀ͸ِͷʮΦϯϥΠϯձٞʯΛఏҊ w ෺ཧతͳਓؒϝϯςφΛର৅ʹ͢Δ w ྫʮ͋ͳͨͱϙουΩϟετΛऩ࿥͍ͨ͠ʯ w ϝϯςφ͸0,͢Δ ߈ܸऀ ِͷΦϯϥΠϯձٞ ϝϯςφ
0,ʂ

ΦϯϥΠϯձٞ༻ͷιϑτ΢ΣΞΛΠϯετʔϧͤ͞Δ ϝϯςφͷ ϩʔΧϧ1$ ߈ܸऀ ΦϯϥΠϯձٞ༻ιϑτΛΠϯ ετʔϧͤ͞Δ w ߈ܸऀ͸ϝϯςφͷϩʔΧϧ1$ʹΦϯϥΠϯձٞͷͨΊͷιϑτ΢ΣΞΛΠ ϯετʔϧͤ͞Δ

ԕִૢ࡞༻ͷϚϧ΢ΣΞ͕࢓૊·Ε͍ͯΔʂ ϝϯςφͷ ϩʔΧϧ1$ ߈ܸऀ ΦϯϥΠϯձٞ༻ιϑτΛΠϯ ετʔϧͤ͞Δ ԕִૢ࡞Ϛϧ΢ΣΞʂʂ

Ϛϧ΢ΣΞ͕ѱҙͷ͋ΔύοέʔδΛެ։ ϝϯςφ ϩʔΧϧ1$ ԕִૢ࡞Ϛϧ΢ΣΞ ѱҙͷ͋Δ OQNύοέʔδ OQN$-*Ͱެ։ w ϝϯςφͷ1$্ͰϚϧ΢ΣΞ͕AOQNQVCMJTIAΛ࣮ߦ w
ѱҙͷ͋Δύοέʔδ͕ެ։͞ΕΔ

શମͷྲྀΕ ߈ܸऀ͸ϝϯςφʹِͷʮΦϯϥΠϯձٞʯΛఏҊʢྫϙουΩϟετΛऩ࿥͍ͨ͠ʣ0, ߈ܸऀ͸ΦϯϥΠϯձٞ༻ͷιϑτ΢ΣΞΛΠϯετʔϧͤ͞Δ ԕִૢ࡞Ϛϧ΢ΣΞ͕࢓૊·Ε͍ͯͯɺϝϯςφͷϩʔΧϧ1$͕ײછ ϝϯςφͷ1$্ͷϚϧ΢ΣΞ͕AOQNQVCMJTIAΛ࣮ߦɺѱҙͷ͋ΔύοέʔδΛެ։ ϝϯςφ ϩʔΧϧ1$
߈ܸऀ ѱҙͷ͋Δ OQNύοέʔδ ِͷΦϯϥΠϯձٞ ԕִૢ࡞Ϛϧ΢ΣΞ OQN$-*Ͱެ։ ΦϯϥΠϯձٞ༻ιϑτͰϚϧ ΢ΣΞʹײછͤ͞Δ

ιʔγϟϧΤϯδχΞϦϯά γεςϜଆ͕΍ΒΕ͍ͯͳ͍

5BO4UBDL (JU)VC"DUJPOTʢ$*$%ύΠϓϥΠϯʣͷ Ωϟογϡ੬ऑੑͷѱ༻

લఏ w (JU)VC"DUJPOTͷϫʔΫϑϩʔΛ࣮ߦ͢ΔͨΊͷτϦΨʔ͕͋Δ w ྫAQVTIAࢦఆͨ͠ϒϥϯνʹQVTI͞ΕͨΒ࣮ߦ͞ΕΔ w 13ʹؔ܎͢ΔτϦΨʔ w AQVMM@SFRVFTUAGPSLઌͷϨϙδτϦͷઃఆͰϫʔΫϑϩʔ͕ಈ͘ w
AQVMM@SFRVFTU@UBSHFUAGPSLݩͷઃఆͰϫʔΫϑϩʔ͕ಈ݁͘Ռతʹ ʮຊՈϨϙδτϦʹର͢Δݖݶʯ͕ڧ͘ͳΔ w 5BO4UBDLʹ͸AQVMM@SFRVFTU@UBSHFUAͷτϦΨʔΛ࢖ͬͨϫʔΫϑϩʔ͕͋ͬͨ w ACVOEMFTJ[FZNMAAMBCFMFSZNMA

߈ܸऀ͸13Λ࡞੒ (JU)VC ϨϙδτϦ ߈ܸऀ 13Λ࡞੒ w HJUIVCDPN5BO4UBDLSPVUFSʹ13Λ࡞੒ w εΫϦϓτAWJUF@TFUVQNKTA͕௥Ճ͞Ε͍ͯΔ w
ߦͷόϯυϧ͞Εͨ+4ϑΝΠϧ

ϫʔΫϑϩʔ͕࣮ߦ͞ΕΔ w (JU)VC"DUJPOTͷAQVMM@SFRVFTU@UBSHFUAτϦΨʔͰ࣮ߦ͞ΕΔ w ຊՈϨϙͱಉ͡ίϯςΩετ w εΫϦϓτ͕࣮ߦ͞ΕΔɺԿΛ͢Δ͔ͱ͍͏ͱ ⋯ (JU)VC
"DUJPOT ߈ܸऀ 13Λ࡞੒ εΫϦϓτ͕࣮ߦ

ΩϟογϡΛԚછ͢Δ w εΫϦϓτ͕(JU)VC"DUJPOT༻ͷΩϟογϡσʔλΛෆਖ਼ͳ΋ͷʹ͢Δ w AQVMM@SFRVFTU@UBSHFUAGPSLݩͱಉ͡ίϯςΩετຊՈϨϙδτϦͰ࢖ΘΕΔ w ͦͷޙGPSDFQVTIͯࠟ͠੻Λফ͢ϑΝΠϧɾมߋͳ͠ (JU)VC "DUJPOT ߈ܸऀ
13Λ࡞੒ Ωϟογϡ͕Ԛછ ѱҙͷ͋Δίʔυ εΫϦϓτ͕࣮ߦ

௨ৗͷ13͕Ϛʔδ͞ΕΔ w ઌ΄Ͳͱ͸ؔ܎ͳ͍௨ৗͷ13Λϝϯςφ͕NBJOʹϚʔδ͢Δ w fi Y fi YKJUJVTBHFGPSUTDPO fi HQBUIT
w IUUQTHJUIVCDPN5BO4UBDLSPVUFSQVMM (JU)VC "DUJPOT ߈ܸऀ 13Λ࡞੒ Ωϟογϡ͕Ԛછ ѱҙͷ͋Δίʔυ ଞͷ13ΛϚʔδ εΫϦϓτ͕࣮ߦ ϝϯςφ

Ԛછ͞ΕͨΩϟογϡ͕෮ݩ͞ΕɺϚϧ΢ΣΞ͕ಈ͘ w NBJO΁ͷϚʔδΛ͖͔͚ͬʹϦϦʔε༻ͷϫʔΫϑϩʔ͕ಈ͘ w Ԛછ͞ΕͨΩϟογϡ͕෮ݩ͞ΕΔ w ͻͦΜͰ͍ͨϚϧ΢ΣΞ͕ಈ͘ (JU)VC "DUJPOT ߈ܸऀ
13Λ࡞੒ Ωϟογϡ͕Ԛછ ѱҙͷ͋Δίʔυ ଞͷ13ΛϚʔδ εΫϦϓτ͕࣮ߦ ϝϯςφ Ωϟογϡ͕෮ݩ ϦϦʔεϫʔΫϑϩʔ

0*%$τʔΫϯΛऔಘɺOQNύϒϦογϡ w ύϒϦογϡΛࢼΈΔ w ςετ͕͚ͯ͜ύϒϦογϡ͕Ͱ͖ͳ͔ͬͨ w Ϛϧ΢ΣΞ͕(JU)VC"DUJPOT࣮ߦதʹϝϞϦ্ͷ0*%$τʔΫϯΛऔಘ w OQNϨδετϦʹ௚઀1045Λૹͬͯެ։ (JU)VC
"DUJPOT ߈ܸऀ 13Λ࡞੒ Ωϟογϡ͕Ԛછ ѱҙͷ͋Δίʔυ ଞͷ13ΛϚʔδ εΫϦϓτ͕࣮ߦ ϝϯςφ Ωϟογϡ͕෮ݩ ѱҙͷ͋Δ OQNύοέʔδ औಘͨ͠τʔΫϯͰ௚઀ެ։

શମͷྲྀΕ ߈ܸऀ͸13Λ࡞੒ (JU)VC"DUJPOTͷϫʔΫϑϩʔΛ࣮ߦɺεΫϦϓτ͕࣮ߦ͞ΕΔ ΩϟογϡʢQOQN͕࢖͏ϥΠϒϥϦʣΛॻ͖׵͑Δɺѱҙͷ͋ΔίʔυΛ࢓ࠐΉ ϝϯςφ͕NBJOʹਖ਼نͳ13ΛϚʔδ
ѱҙͷ͋Δίʔυ͕࢓૊·ΕͨΩϟογϡ͕࣮ߦ͞ΕΔ 0*%$τʔΫϯΛൈ͖औΓɺOQNύοέʔδΛެ։ (JU)VC "DUJPOT ߈ܸऀ ѱҙͷ͋Δ OQNύοέʔδ 13Λ࡞੒ Ωϟογϡ͕Ԛછ ѱҙͷ͋Δίʔυ ଞͷ13ΛϚʔδ εΫϦϓτ͕࣮ߦ ϝϯςφ Ωϟογϡ͕෮ݩ औಘͨ͠τʔΫϯͰ௚઀ެ։

ΞΧ΢ϯτ͸৐ͬऔΒΕͯͳ͍͠ ϓϩ΂φϯεʢग़ॴͷਖ਼౰ੑʣ΋ͭ͘

.BTUSB աڈͷϝϯςφͷෆཁͳݖݶͷ࢒ଘ ґଘؔ܎ͷѱ༻

߈ܸऀ͸ݩϝϯςφΛ৐ͬऔΔ w աڈͷ֎෦ίϯτϦϏϡʔλͷݸਓOQNΞΧ΢ϯτΛϋοΩϯά w A!NBTUSB Aείʔϓ΁ͷެ։ݖݶΛ͍࣋ͬͯͨ w ͞ΒʹɺϝΞυΛॻ͖׵͑ͯɺऔΓฦͤͳ͍Α͏ʹ ߈ܸऀ ΞΧ΢ϯτ৐ͬऔΓ
ίϯτϦϏϡʔλ

FBTZEBZKT w ߈ܸऀ͸AFBTZEBZKTAύοέʔδΛ࡞͓ͬͯ͘ w ༗໊ͳAEBZKTAʹࣅͤͯɺ߈ܸऀ͕࡞ͬͨύοέʔδ w ໊લػೳΛࣅͤΔʮҰݟਖ਼ͦ͠͏ʯλΠϙεΫϫοςΟϯάͷख๏ w ༧ΊϦϦʔε͞Ε͍ͯͨAFBTZEBZKT!A͸ΫϦʔϯͳύοέʔδ ໨Λ͝·͔͢
w ൜ߦΛ͢Δ௚લʹѱҙͷ͋ΔAFBTZEBZKT!AΛϦϦʔε

ѱҙͷ͋Δґଘؔ܎ʹ͢Δ w ߈ܸऀ͸ѱҙͷ͋ΔA!NBTUSB AͷύοέʔδΛ༻ҙ͢Δ w QBDLBHFKTPOΛॻ͖׵͑ɺAFBTZEBZKTAύοέʔδͷґଘΛೖΕΔ ߈ܸऀ ΞΧ΢ϯτ৐ͬऔΓ ѱҙͷ͋ΔύοέʔδΛ࢓ࠐΉ ίϯτϦϏϡʔλ

ެ։ɺѱҙͷ͋ΔεΫϦϓτ͕࣮ߦ͞ΕΔ w ৐ͬऔͬͨΞΧ΢ϯτͰAFBTZEBZKTAೖΓͷA!NBTUSB AύοέʔδΛެ։ w ϢʔβʔଆͰѱҙͷ͋ΔAFBTZEBZKT!A͕͞Εͯ͠·͏ w 1BDLBHFKTPOʹ͸AFBTZEBZKT!?AΩϟϨοτࢦఆͳͷͰʮΫϦʔϯͳʯ Ͱ͸ͳ͍ w
Ϣʔβʔͷ1$ͰAFBTZEBZKTAͷAQPTUJOTUBMMAͷʢѱҙͷ͋ΔʣεΫϦϓτ͕࣮ߦ͞ΕΔ ߈ܸऀ ѱҙͷ͋Δ OQNύοέʔδ ΞΧ΢ϯτ৐ͬऔΓ Ϣʔβʔͷ1$Ͱѱҙͷ͋Δίʔυ͕࣮ߦ ѱҙͷ͋ΔύοέʔδΛ࢓ࠐΉ ίϯτϦϏϡʔλ ύϒϦογϡ

શମͷྲྀΕ ߈ܸऀ͸ඇΞΫςΟϒͳίϯτϦϏϡʔλͷOQNΞΧ΢ϯτΛ৐ͬऔΔ AEBZKTAʹࣅͨѱҙͷ͋ΔAFBTZEBZKTAΛQBDLBHFKTPOͷґଘʹೖΕΔ ৐ͬऔͬͨΞΧ΢ϯτͰύϒϦογϡ w Ϣʔβʔͷ1$ͰAFBTZEBZKTAͷAQPTUJOTUBMMA͕࣮ߦ͞ΕΔ ߈ܸऀ
ѱҙͷ͋Δ OQNύοέʔδ ΞΧ΢ϯτ৐ͬऔΓ Ϣʔβʔͷ1$Ͱѱҙͷ͋Δίʔυ͕࣮ߦ ѱҙͷ͋ΔύοέʔδΛ࢓ࠐΉ ίϯτϦϏϡʔλ ύϒϦογϡ

ݖݶ؅ཧͷෆඋΛͭ͘ OQNͷґଘؔ܎Λར༻

ͭͷܦ࿏ BYJPT w ιʔγϟϧΤϯδχΞϦϯά 5BO4UBDL w (JU)VC"DUJPOTͷΩϟογϡԚછ .BTUSB
w ݖݶ؅ཧͷෆඋɺґଘؔ܎ͷར༻

)POPͰͷରࡦ

BYJPTܕ ϝϯςφͷΞΧ΢ϯτͷ৐ͬऔΓ

Ҏલ͸ ⋯ ݸਓͷ1$͔ΒखಈͰύϒϦογϡͯͨ͠ w ZVTVLFCFͷ1$͔ΒAOQNQVCMJTIA૬౰Λ࣮ߦ͍ͯͨ͠ w AOQAύοέʔδͰϏϧυɺςετɺλάଧͪɺύϒϦογϡ w $IBOHFTFUTΛ࢖͍ͬͯͳ͔ͬͨόʔδϣϯ؅ཧΛࡉ΍͔ʹ͢Δ w
ϞϊϨϙʢྫIPOPKTNJEEMFXBSFʣͷ৔߹ɺ$IBOHFTFUTΛ࢖ͬͯɺ (JU)VC"DUJPOT͔ΒϦϦʔε ʮࣗ෼͕େৎ෉ͳΒେৎ෉ʯ ৐ͬऔΓ͕ා͍

0*%$USVTUFEQVCMJTIJOH΁ͷҠߦ w (JU)VC"DUJPOT͔ΒϦϦʔε w AOQAίϚϯυʹAOPQVCMJTIAΛ͚ͭΔϩʔΧϧ͔Β͸ύϒϦογϡ͠ͳ͍ w λάΛଧͭͱ(JU)VC"DUJPOTͰϏϧυɺAOQNQVCMJTIA w OQNϨδετϦͰ৴པ͞ΕͨϑϩʔͷΈڐՄ w
(JU)VCAIPOPKTIPOPAͷASFMFBTFZNMA͔ΒϦϦʔε͞Εͨ w ग़ॴ͕อূ͞Ε͍ͯΔϓϩ΂φϯε͕ͭ͘

5BO4UBDLܕ (JU)VC"DUJPOTͷѱ༻ɺΩϟογϡԚછ

(JU)VC"DUJPOTͷ࣮ߦൣғΛڱΊΔ w (JU)VC"DUJPOTͰAQVMM@SFRVFTU@UBSHFUAΛ࢖༻͠ͳ͍ w 13ͷ(JU)VC"DUJPOTͷ࣮ߦΛϝϯςφ͕खಈͰߦ͏ w ΞΫγϣϯʹQJOΛଧͭ ίϛοτϋογϡͰݻఆ DJQJO(JU)VC"DUJPOTUP4)"T IUUQTHJUIVCDPNIPOPKTIPOPQVMM
શ"DUJPOTʹϝϯςφͷঝೝ͕ඞཁ

.BTUSBܕ ϝϯςφͷݖݶͷར༻ɺґଘؔ܎Ԛછ

ίϯτϦϏϡʔλ͸গͳ͍ w OQNͷߩݙऀ͸ZVTVLFCFҰਓͷΈ w (JU)VCϓϩδΣΫτ͸ZVTVLFCFͱVTVBMPNB͞Μ ࣗ෼͕౗ΕͨΒ΍͹͍ϦεΫ͸͋Δ͕ ࣗ෼Ҏ֎͕৐ͬऔΒΕΔϦεΫ͸օແ

ґଘ͕θϩ w ֎෦ϥΠϒϥϦͷґଘEFQFOEFODJFT͕θϩ w ґଘϥΠϒϥϦʹΑͬͯةݥͳεΫϦϓτ͕ൃՐ͢ΔՄೳੑ͸օແ IUUQTOQNHSBQIKTPSH RIPOP

ͦͷଞͷରࡦ

ͦͷଞͷରࡦ w ϓϩδΣΫτͰͳΔ΂͘΍ΕΔ͜ͱΛݮΒ͢ w %FW$POUBJOFSTͱ(JUQPEͷઃఆΛফ͢ w EFW%FQFOEFODJFT΋ݮΒ͢ w ։ൃऀଆͰʮԿ͔ʯ͕࣮ߦ͞ΕΔػձ͕ݮΔ

͜Ε͔Β

͜Ε͔ΒԿΛ͠Α͏ͱ͍ͯ͠Δ͔ʁ w 4UBHFEQVCMJTIJOH͙͢ʹެ։͞ΕͣϝϯςφʹΑΔঝೝ͕ඞཁ w ࡁIUUQTHJUIVCDPNIPOPKTIPOPQVMM w ֎෦͔Βͷ13ېࢭ w ѱҙͷ͋Δ13ɺߩݙ͍͚ͨͩ͠ɾό΢ϯσΟΛͱΓ͍ͨ13 w
ίʔυ͸"*͕ॻ͘͜ͱ͕Ͱ͖Δ w ϝϯςφΛ૿΍͞ͳ͍ w ίΞAIPOPAͷػೳΛݮΒ͢όά΍৵֐ͷ伱Λͳ͘͢ w ΞμϓλʔͷػೳΛίΞ͔Β֎͢AIPOPBXTMBNCEBAA!IPOPBXTMBNCEBAFUD

·ͱΊ

·ͱΊ w )POPͷݱঢ় w ৵֐Λड͚ͨͭͷϥΠϒϥϦ w ͭͷܦ࿏ w )POPͰͷରࡦ w
ͦͷଞͷରࡦ w ͜Ε͔Β

ҧ͏खޱ͕ొ৔͢Δ͔΋ ΍Εͯͳ͍ରࡦ͕·ͩ͋Δ͔΋ ؾΛ͚͍͖͍ͭͯͨ

͓ΘΓ

Honoでのサプライチェーン侵害対策 〜 3つのライブラリに学ぶ

Honoでのサプライチェーン侵害対策 〜 3つのライブラリに学ぶ

More Decks by Yusuke Wada

Other Decks in Programming

Featured

Transcript

Honoでのサプライチェーン侵害対策〜 3つのライブラリに学ぶ

Honoでのサプライチェーン侵害対策〜 3つのライブラリに学ぶ