Seguridad de la cadena de suministro de software de código abierto: Medio siglo de desafíos

Desde la revisión de seguridad del sistema Honeywell Multics de 1974, que destacaba las preocupaciones sobre las 'puertas traseras', hasta el ataque XZ de 2024 dirigido a sistemas Debian, la seguridad de la cadena de suministro de software de código abierto sigue siendo un problema persistente. Este artículo explora la complejidad del problema, que va más allá de los simples gráficos de dependencia, abarcando todas las etapas de construcción y distribución de software, incluidos los factores humanos. Se proponen soluciones como la autenticación de software, las compilaciones reproducibles, la detección y corrección rápidas de vulnerabilidades y el uso de lenguajes de programación más seguros. Fundamentalmente, se destaca la importancia de la financiación del desarrollo de código abierto, ya que la falta de financiación hace que los proyectos sean vulnerables a la toma de control maliciosa. El ataque XZ sirve como una clara advertencia: una 'ayuda gratuita' aparentemente inofensiva puede ocultar riesgos significativos.