Sổ tay tuân thủ của GitHub cho các phụ thuộc mã nguồn mở

Văn phòng Chương trình Mã nguồn Mở (OSPO) của GitHub đã công bố một bài viết về cách họ duy trì tuân thủ cho các phụ thuộc mã nguồn mở. Bài viết do Jeff, người điều hành OSPO, viết, đề cập đến các bước thực tế mà GitHub thực hiện để đảm bảo các nghĩa vụ giấy phép được đáp ứng trong toàn bộ chuỗi cung ứng phần mềm.

Thách thức về tuân thủ

Các phụ thuộc mã nguồn mở có mặt ở khắp nơi, và mỗi phụ thuộc đều có các điều khoản giấy phép riêng. Đối với một nền tảng như GitHub, vốn tiêu thụ hàng nghìn gói mã nguồn mở, việc theo dõi và thực hiện các nghĩa vụ đó không hề đơn giản. Jeff lưu ý rằng GitHub sử dụng kết hợp các công cụ tự động và đánh giá thủ công để duy trì tuân thủ.

Các thực hành chính

• Quét tự động: GitHub chạy các công cụ phân tích thành phần phần mềm (SCA) trên cơ sở mã của mình để phát hiện các thành phần mã nguồn mở và giấy phép của chúng.
• Phân loại giấy phép: Mỗi thành phần được phát hiện được phân loại theo loại giấy phép (ví dụ: MIT, GPL, Apache) để xác định nghĩa vụ.
• Thực thi chính sách: Các chính sách nội bộ chặn việc sử dụng một số giấy phép nhất định hoặc yêu cầu phê duyệt trước khi áp dụng.
• Tạo ghi nhận: Các hệ thống tự động tạo ra thông báo và tệp ghi nhận để phân phối.
• Dấu vết kiểm toán: Tất cả các quyết định và hành động tuân thủ đều được ghi lại để có thể truy xuất nguồn gốc.

Tính toàn vẹn chuỗi cung ứng

Ngoài giấy phép, GitHub cũng tập trung vào bảo mật chuỗi cung ứng. Họ xác minh nguồn gốc của các phụ thuộc, kiểm tra các lỗ hổng đã biết và giám sát các gói độc hại. Điều này phù hợp với các nỗ lực rộng lớn hơn của ngành như SLSA và SBOM.

Bài học cho kỹ sư

Nếu bạn đang xây dựng phần mềm phụ thuộc vào mã nguồn mở, cách tiếp cận của GitHub là một tài liệu tham khảo vững chắc. Điều quan trọng là tự động hóa càng nhiều càng tốt—quét, phân loại, ghi nhận—trong khi vẫn giữ con người trong vòng lặp cho các trường hợp ngoại lệ. Tuân thủ không chỉ là gánh nặng pháp lý; nó là một phần của kỹ thuật có trách nhiệm.