JUMP26 ソフトウェア部品表

[hfu]

導入する必要があるソフトウェアのロングリストを作り、そのあと絞り込んでショートリストにしていきましょう。

[yuiseki]

お、SBOM的な考え方ですかね

[hfu]

ありがとうございます！SBOMというコンセプトはある程度理解していましたが、SBOMとして深く実装することまでは考えていませんでした。

JUMP26 ソフトウェアの導入をどのように実装しようか、ということを優先的に考える必要があるかなと思っています。
私自身は、unvt/equinox という割と乱暴なスクリプトを作って導入することを行なっていました。
https://github.com/unvt/equinox/blob/master/install.sh

3年前が最終更新のようですが、振り返ってみると、引き続き使っているものもあれば、今は使っていないツールもあるようです。

[hfu]

OS

• Raspberry Pi OS Lite 64bit trixie
  • /tmp のサイズに注意 Debian trixieにおける/tmpの扱いについて #786

additional utilities

• NodeSource node (LTS)
  • vite (global)
• docker <- @smellman 何か留意するところはありますか
• tmux
• jq
• aria2
• curl
• git
• vim
• btop
• ruby
• caddy
• cloudflared

geospatial utilities

• felt/tippecanoe
• go-pmtiles
• martin
• gdal/ogr

node modules (via Vite)

• maplibre-gl-js
• pmtiles-js

とりあえず書き出してみました。加除修正していきたいので、コメントいただけると嬉しいです。

[yuiseki]

SBOMの話題を出した文脈ですが、

• 最近、npmを中心にソフトウェアサプライチェーン攻撃が激化している
• 案件によっては使っているOSSライブラリ等のすべてのライセンスに問題が無いかの確認を求められる

といったことが最近ありまして、個人的にも気になっていたところでした

[hfu]

npmを中心にソフトウェアサプライチェーン攻撃、私もお伺いしていて、脅威だなと思っています。
MapLibre の newsletter でも、

Like other MapLibre projects, Martin has also hardened its CI and release infrastructure against supply chain attacks in this release. We are now publishing immutable, attested releases via CI instead of manually. Further details are available on Slack.

というような記述が出ていて、サプライチェーンアタックについては配慮が必要な状況になってきているのだなと感じています。