依存管理
このタグの記事 6 件
OpenSSL とは — HTTPS を支える土台ライブラリと、その守り方
OpenSSL＝HTTPS(TLS/SSL)と暗号処理を担うオープンソースの土台ライブラリ。多くの人は直接書かず、Webサーバー・OS・言語ランタイム経由で継承して使う。だから1つのバグの影響範囲が巨大（Heartbleedが典型）。守り方は、①自分の環境が使うOpenSSLを把握 ②EOL版を使わない ③土台の依存もCVE監視 ④重大時は速やかに更新。当サイトが配る証明書も、その下でOpenSSL系の実装が動いている。
脆弱性(CVE)対応の実務：直しきって、再発を監視し続ける手順
脆弱性対応は『直した』で終わらない。完了＝①スキャン②修正③隔離/引き継ぎ④監視の4点が揃って初めて。特に監視（日次の変化検知）を載せるまでは未完——依存は明日また脆弱になるから。修正の中身が100点でも、次のデプロイで消える運用なら0点。小さな現場こそ、自動の変化検知と『local→push→deploy』の規律で驚くほど守れる。
osv-scannerの導入と使い方：依存パッケージのCVEを機械で見つける
osv-scannerはロックファイルやコンテナを走査して依存のCVEを洗い出す無料ツール。導入・実行・CI組込みを手順化し、npm/pnpm audit・Dependabotとの使い分けまで整理する。当サイトの視点＝ツール選びの正解は『あなたの構成』で決まる。複数言語混在やGitHub非依存ならosv-scanner、単一npmなら同梱のpnpm auditで十分。
Log4Shell（CVE-2021-44228）— 世界中が一晩で“使っているか分からない”脆弱性に震えた日
Log4jの脆弱性(CVSS 10.0)。本質は『間接的な依存（推移的依存）で、知らないうちに使っている』怖さ。ログ出力という受け身の処理が攻撃経路になった。SBOMと依存の機械監視、迅速なパッチ、追随CVEの追跡が教訓。
Next.js を安全に運用する：公開済みCVEに後れを取らないしくみ
フレームワークの最大リスクは公開済みCVEの放置。実稼働版で判定し、Dependabot/osv-scannerで機械監視、迅速更新、最小権限の4本柱で守る。当サイトの視点＝個人開発者が負けるのは知識でなく『運用の継続性』。速さより見落とさない仕組みで勝つ。
XZ Utils バックドア（CVE-2024-3094）— 信頼そのものが狙われたサプライチェーン事件
圧縮ライブラリxzに、信頼を得た維持者がバックドアを仕込んだ供給網攻撃。安定版到達寸前で一技術者の『遅い』という違和感が食い止めた。コードでなく『人と信頼』が狙われた。依存の最小化・版固定・再現性・違和感の追跡・維持者支援が教訓。