从“源码审计”到“能力审计”：Go 生态应对供应链攻击的范式转移
💡
原文中文，约6000字，阅读约需15分钟。
📝
内容提要
本文探讨软件供应链安全的新范式，强调从“源码审计”转向“能力审计”。传统源码审计难以应对复杂攻击，如BoltDB投毒事件。Google的Capslock工具可分析构建产物，识别潜在安全风险，帮助开发者关注依赖包的行为边界，从而提升安全性。
🎯
关键要点
- 软件供应链安全的传统认知假设是'代码即真理'，但这一假设在BoltDB投毒事件中被打破。
- 传统的'源码审计'无法应对复杂的供应链攻击，需转向'能力审计'。
- 能力审计关注构建产物的行为边界，而非源码的具体实现。
- Capslock是Google开源的静态分析工具，用于进行能力审计，识别代码的真实能力。
- Capslock能够识别网络访问、文件系统操作、系统执行等关键能力。
- 使用Capslock进行能力审计的步骤包括安装工具、扫描项目和对比版本差异。
- Capslock的局限性包括无法分析C代码和汇编代码，以及可能出现误报。
- 从'源码审计'到'能力审计'的转变是对供应链安全认知的升级，强调行为边界的重要性。
- 建议团队在开发流程中锁定Commit、将Capslock集成到CI中，并保持对依赖包的怀疑态度。
➡️
