Весь современный софт построен вокруг open source. Даже если компания программирует на зак…

Весь современный софт построен вокруг open source. Даже если компания программирует на заказ индивидуальную бизнес-логику для единственного клиента – в её коде все равно используются свободные библиотеки и сервисы. Это удобно, хорошо, выгодно. Open source – одна из причин стремительного прогресса IT.

Однако есть и минусы. Свободный софт пишут живые люди, они иногда ошибаются, в библиотеках возникают ошибки и уязвимости. А потом эти уязвимости расползаются по тысячам продуктов, которые их используют – и вот уже они тоже ненадежны. Особенно обидно то, что автор мог год назад поправить свой проект – но программист по какой-то причине продолжает использовать старую версию и по-прежнему подвергает риску своих заказчиков.

Английский #стартапдня Snyk ведет базу данных уязвимостей в мире open source, а его софт автоматически проверяет любой программный код на предмет использования чего-то дырявого. Стандартный подход – автоматически вызывать Snyk после каждого коммита и, пока всё хорошо, вообще не тратить на безопасность время. Один раз настроил – и поехало. Если же в используемой библиотеке что-то нашли, программист об этом узнает на следующий день. Иногда Snyk сразу предлагает обновиться до надежной версии, иногда у него есть рекомендованный патч, ну а иногда – надо думать самому.