Damian Fajfer

Wolne i otwarte oprogramowanie stanowi fundament niemal każdego współczesnego systemu informatycznego. Fala ataków na łańcuchy dostaw oprogramowania oraz rosnąca liczba ujawnianych podatności sprawiają, że korzystanie z otwartego ekosystemu wymaga świadomego zarządzania ryzykiem. Dodatkowo, wymagania regulacyjne zwiększają znaczenie identyfikowania wykorzystywanych komponentów, oceny związanego z nimi ryzyka oraz zarządzania podatnościami w całym cyklu życia produktu.

Podczas prelekcji spojrzę na wolne i otwarte oprogramowanie z perspektywy organizacji, która musi bezpiecznie z niego korzystać. Przedstawię mechanizmy służące do oceny komponentów, weryfikowania pochodzenia artefaktów i ograniczania ryzyka. Omówię między innymi SCA, SBOM, SLSA, podpisywanie i weryfikowanie artefaktów oraz wybrane narzędzia i praktyki rozwijane w ramach OpenSSF.

Skupię się przede wszystkim na tym, co poszczególne mechanizmy rzeczywiście potwierdzają, czego nie gwarantują i jak rozsądnie łączyć je w warstwowy model obrony. Pokażę również, jak uporządkować odpowiedzialność za wykorzystywane oprogramowanie open source oraz przełożyć wymagania bezpieczeństwa i zgodności na praktyczne zasady dopuszczania, monitorowania i wycofywania komponentów.