10、开源软件供应链攻击与学术研究的挑战

开源软件供应链攻击与学术研究的挑战

1. 开源软件供应链的脆弱性

开源软件（OSS）供应链易受攻击。OSS 允许用户读取源代码，但用户端作为可执行软件包交付的编译代码与开发者读取和编辑的源代码不同。如今，越来越多的产品和服务依赖开源软件来快速开发、部署和集成新技术。

“自由软件”和 OSS 有所区别，自由软件强调“言论自由意义上的自由，而非免费啤酒意义上的自由”，其确保软件的源代码始终可用，包括复杂的依赖项。开源软件运动使许多企业和机构能够利用现有的开源代码库快速开发复杂的软件和服务，而自由软件运动不仅是一种经济和开发模式，更是一种开放和透明的哲学理念。

然而，开源技术也使许多行业的开发者面临供应链攻击。在学术研究中，应用安全和网络主权是全球开放研究自由流动面临的紧迫问题，而开源软件供应链攻击则使这一切面临风险。

2. 供应链攻击的场景

供应链攻击可能出现在多种场景中，包括软件或硬件供应商、开发者等：
- 硬件层面 ：硬件制造商或其供应商理论上可能在消费电子产品中加入不必要的硬件或固件。产品可能在工厂被改装后直接运往目标用户，或者在运输途中被拦截、打开并修改以满足攻击者的需求。不过，目前这些攻击较为罕见且多为推测，政府有责任对国家元首或军事领导人的电脑或手机等进行检查和保护。
- 软件层面 ：软件供应链攻击通常通过开源软件管道将恶意代码植入应用程序。据估计，99%的企业源代码库包含开源软件，因此供应链攻击可能非常有效且具有普遍性。开发者在添加软件包或模块以快速增加应用功能时，可能会使系统暴露于攻击者的恶意代码之下。

3.