00 · まず3分で

答えは、3つの要点でわかる

  1. 1依存物はコードだけでなく、管理者、更新経路、さらに下位の依存物を信頼境界へ入れます。
  2. 2アプリの元コードが無傷でも、ビルド工程が侵害されることがあります。
  3. 3一覧、来歴、再現ビルド、権限制限で危険を減らします。

01 · 見えない木が伸びる

見えない木が伸びる

直接導入した一つのパッケージが多数の間接依存を持ちます。ロックファイルやSBOMは版を示しますが、安全に作られた証明まではしません。

02 · 信頼が乗っ取られる

信頼が乗っ取られる

管理者アカウント、似た名前のパッケージ、ビルドサーバー、更新経路が攻撃対象です。悪性物が既存の信頼路を下ります。

FIG. 02仕組みを段階で追う
仕組みの関係を示す概念図です。特記のない形状・縮尺・時間は実測値ではありません。

03 · 来歴が経路を記録する

来歴が経路を記録する

署名付き証明はどのソースとビルダーから成果物ができたか示します。高い保証には隔離された耐改ざんビルドが必要です。

04 · 最小権限で範囲を狭める

最小権限で範囲を狭める

インストール処理へ不要な通信や秘密を与えないようにします。隔離、版固定、承認、段階配布が被害範囲を減らします。

05 · 継続的に保守する

継続的に保守する

放棄される依存物や新しい脆弱性があります。公開時の一回検査でなく、更新方針、監視、対応計画が必要です。

06 · 出典と証拠

出典と証拠

主張を、基礎論文・標準文書、または更新記事の一次研究までたどれます。

  1. 01
    Secure Software Development Framework (SSDF) Version 1.1

    この記事の仕組み・測定事実・確度の境界を支える資料です。

    技術標準 ↗
  2. 02
    SLSA specification

    この記事の仕組み・測定事実・確度の境界を支える資料です。

    技術標準 ↗
更新履歴2026年8月29日 · 初回5言語版。仕組み・限界・図解・出典を確認。