XZ Utils arka kapısı olayı sonrası kullandığım kütüphanelere artık güvenemiyorum, ne yapmalıyım?

[Kaan A.]

Arkadaşlar bir şey danışacağım, son zamanlarda kafamda bir süru soru döndü. XZ Utils’ın arka kapısı olayı patladığında tüm Linux dağıtımı kasıp kavurdu ya, benim de içim bir hayli karıştı. Yıllardır make && make install deyip duruyorum, apt üzerinden kütüphane yüküyorum, farkında bile olmadan binlerce transitive dependency kullanıyorum ve bunların içine kimin ne sakladığını hiç takip etmiyorum.

O günden sonra aklıma takılan şu: Benim projemde kullandığım bağımlılıkların gerçekten temiz olduğunu nasıl bileceğim? SBOM denilen şeyi bir türlü oturtamadım, her yerden duyuyorum ama pratikte nasıl uygulanacağını bilmiyorum. Hem de bireysel geliştiren olarak bu işin maliyetini nasıl karşılayabilirim? Tecrübesi olan var mı, siz bu konuyu nasıl yönetiyorsunuz?

"—————————————-"

"Hiçbir hakikat kolay kazanılmaz; bedeli sabır, uykusuz geceler ve tükenmeyen merak olan yolculuklar asildir."

[Yazar]

Yazılar