Fedora 45は、パッケージにPURL（Package URL）のサポートを追加する予定です。この一意のコードは、npm、PyPi、Mavenなどのエコシステム間でプログラムを標準化された方法で識別します。その実装により、セキュリティの脆弱性を追跡し、ソフトウェアリストを正確に生成することが可能になります。ユーザーにとっては、重大な欠陥を検出することで、より安全で迅速なアップデートにつながります。この措置は、機器のプライバシーと安定性を保護し、Linuxエコシステムにおける依存関係管理を改善します。
PURLがパッケージ識別を標準化する方法 🔒
PURLは、各パッケージに機械可読な識別子を割り当てる参照スキームとして機能し、エコシステムの種類、名前、バージョンを組み合わせます。例えば、Pythonパッケージは pkg:pypi/requests@2.31.0 として表現されます。Fedora 45は、この仕様をパッケージマネージャーDNFや、OWASP Dependency-Checkなどの分析ツールに統合します。これにより、脆弱性データベース（CVE）とインストール済みコンポーネントの自動的な関連付けが容易になります。管理者は、曖昧さのないソフトウェア部品表（SBOM）を生成でき、セキュリティ障害への対応を迅速化できます。
今やあなたのパッケージマネージャーもあなたのことを知っている 😅
そうです、プログラムを一意のコードで識別するだけでは不十分だということが判明しました。今度はFedoraが、あたかもカーネルがバージョンを超えたために身分証明書を要求するかのように、各パッケージに独自のデジタルIDを持たせようとしています。一般ユーザーは、自分のブラウザが税金を申告しなければならなくなるのではないかと疑問に思うでしょう。実際のところ、これだけの数字とスキームがあれば、システムはあなたよりも自分が何をインストールしているかをよく知っていることになります。そしてその間、ハッカーたちは手をこすっています。少なくとも、推測することなくどの脆弱性を悪用すべきかがわかるからです。