构建溯源

文章深入分析了软件供应链中存在的信任漏洞，详细阐述了诸如拼写错误攻击、依赖混淆、秘钥泄露、管道投毒和恶意维护者等攻击手段，并介绍了TypoGard、Zizmor、PyPI可信发布和证明、Homebrew构建溯源以及Go Capslock等新兴防御技术，旨在将隐式信任转变为显式、可验证的保障，从而提高软件供应链的安全性。

本文介绍了 Homebrew 项目与 Alpha-Omega 和 OpenSSF 合作，为 homebrew-core 增加构建溯源（build provenance）功能。通过密码学方式证明 Homebrew CI 构建的所有瓶子（bottles）的真实性，从而提高软件供应链的透明度和安全性，降低恶意内部人员攻击的威胁。目前该功能处于公开测试阶段，建议高级用户尝试。