2024年Perl工具链峰会 - 里斯本
内容提要
今年我受邀参加了里斯本的PTS会议，作为CPAN安全组的一部分。会议主要讨论了欧洲网络韧性法案对Perl和CPAN开发者的影响，以及建立Perl特定的CVE编号机构的可能性。还讨论了CPAN模块在Linux发行版中的状态和如何提高cpanm的安全性。感谢PTS会议组织者和赞助商的贡献。
延伸解读
CVE编号：下游分发的行动触发器
文章指出，Linux发行版等下游项目主要监控CVE数据库，而非CPAN的Changelog或CPAN::Audit。即使CPAN模块已修复漏洞并发布新版本，若没有CVE编号，发行版可能不会及时更新。因此，为历史漏洞申请CVE至关重要，这能促使下游采取行动，提升整个生态的安全响应效率。
Perl专属CNA：提升漏洞管理效率
CPAN安全组正在推动建立Perl专属的CVE编号机构（CNA），范围涵盖Perl核心和CPAN模块。专属CNA能更快速、准确地发布CVE，因为处理请求更集中。此举参考了Linux内核和Python社区的先例，并与Perl指导委员会进行了讨论。虽然前期需要投入，但长期看有助于改善Perl生态的安全治理。
安全默认配置：cpanm强制HTTPS的权衡
CPAN安全组推动cpanm默认仅使用HTTPS连接，以提升安全性。但这一改变可能破坏部分CI流水线和smoker的现有工作流，因此需要权衡向后兼容性。文章强调，有时负责任的决策是打破向后兼容，以确保安全默认。目前该补丁正在讨论中，社区可参与反馈。
Linux发行版与CPAN模块的协作痛点
多个Linux发行版（如SUSE、Fedora、Alpine）在打包CPAN模块时面临依赖解析、补丁应用和漏洞通知等共同挑战。各发行版维护的补丁常未进入上游CPAN发布，导致重复劳动。讨论建议开发统一的CPAN模块来处理打包脚本，并探索集中式补丁仓库，以帮助发行版满足未来CRA的SBOM要求。
Q&A
2024年Perl工具链峰会的主要议题是什么？
会议主要讨论了欧洲网络韧性法案对Perl和CPAN开发者的影响，以及建立Perl特定的CVE编号机构的可能性。
CPAN安全组在会议上讨论了哪些安全性问题？
讨论了CPAN模块需要CVE编号以提高安全性，以及如何请求和更新现有漏洞的CVE编号。
为什么CPAN模块需要CVE编号？
CVE编号可以帮助下游项目监控漏洞，并促使发行版及时下载和发布修补版本。
会议中提到的关于Linux发行版和CPAN模块的讨论内容是什么？
讨论了CPAN模块在Linux发行版中的状态、打补丁的方式以及如何满足网络韧性法案的要求。
CPAN安全组如何推动cpanm的安全性？
安全组正在推动cpanm默认使用HTTPS，以提高安全性。
会议的组织者和赞助商对峰会的成功做出了什么贡献？
组织者确保了会议的顺利进行，赞助商的支持对会议的成功至关重要。
