Addressing socio-technical blind spots in modern software systems

Abstract

Software systems have evolved from isolated artifacts into large, globally distributed ecosystems. This shift has exposed socio-technical blind spots that traditional software engineering and security practices do not fully address. This dissertation argues that securing and sustaining modern software systems requires a socio-technical approach that accounts for demographic and linguistic diversity, architectural complexity, and evolving threat models. To this end, we first present a comparative study of 200,000 websites across ten developed and ten developing countries, showing how economic context shapes performance, security, privacy, and accessibility practices on the web. Second, we examine accessibility challenges in the Global South through the first cross-national accessibility study of 100,000 websites, revealing persistent barriers for users with disabilities. Building on this analysis, we introduce LangCrUX and Kizuki, which expose widespread mismatches between visible content and accessibility metadata on multilingual websites. From the developer perspective, we present a ten-year longitudinal study of GitHub activity, showing that although non-English participation is steadily increasing, it is associated with a visibility penalty that limits project reach and contributor engagement. Complementing these socio-economic findings, the final part addresses technical challenges arising from emerging vulnerability classes and increasing system abstraction. We provide a Systematization of Knowledge of Regular Expression Denial of Service (ReDoS), highlighting gaps in threat models, definitions, and evaluation methodologies, and analyze the defenses deployed in modern regex engines. To improve reproducibility and evaluation in the JavaScript ecosystem, we introduce SecBench.js, a benchmark suite of real-world vulnerabilities and executable exploits for the npm ecosystem. Finally, we present Graphia, a graph neural network–based approach for whole-program call graph reasoning in JavaScript, which recovers complex call relationships missed by traditional static analysis. Together, these contributions show that addressing the challenges of modern software engineering requires a shift toward a socio-technical perspective that integrates social and linguistic context with system-level reasoning about complexity, scale, and security.

Softwaresysteme haben sich von isolierten Artefakten zu großen, global verteilten Ökosystemen entwickelt. Dieser Wandel hat sozio-technische blinde Flecken offengelegt, die durch traditionelle Praktiken der Softwaretechnik und IT-Sicherheit nicht vollständig adressiert werden. Diese Dissertation argumentiert, dass die Sicherung und nachhaltige Gestaltung moderner Softwaresysteme einen sozio-technischen Ansatz erfordert, der demografische und sprachliche Vielfalt, architektonische Komplexität sowie sich wandelnde Threat Models berücksichtigt. Zu diesem Zweck präsentieren wir zunächst eine vergleichende Studie von 200.000 Websites aus zehn Industrie- und zehn Entwicklungsländern, die zeigt, wie der wirtschaftliche Kontext Performanz-, Sicherheits-, Datenschutz- und Barrierefreiheitspraktiken im Web prägt. Zweitens untersuchen wir Barrierefreiheitsprobleme im Globalen Süden anhand der ersten länderübergreifenden Barrierefreiheitsstudie mit 100.000 Websites und zeigen dabei anhaltende Hürden für Nutzerinnen und Nutzer mit Behinderungen auf. Aufbauend auf dieser Analyse stellen wir LangCrUX und Kizuki vor, die weitverbreitete Diskrepanzen zwischen sichtbaren Inhalten und Barrierefreiheitsmetadaten auf mehrsprachigen Websites aufdecken. Aus Entwicklerperspektive präsentieren wir zudem eine zehnjährige Longitudinalstudie der GitHub-Aktivität. Diese zeigt, dass die nicht-englischsprachige Beteiligung zwar stetig zunimmt, jedoch mit einer geringeren Sichtbarkeit verbunden ist, welche die Reichweite von Projekten und die Gewinnung von Mitwirkenden begrenzt. Ergänzend zu diesen sozioökonomischen Ergebnissen widmet sich der letzte Teil den technischen Herausforderungen, die sich aus neuartigen Schwachstellenklassen und zunehmender Systemabstraktion ergeben. Wir liefern eine Systematisierung des Wissens zu Regular Expression Denial of Service (ReDoS), identifizieren Lücken in Threat Models, Definitionen und Evaluationsmethoden und analysieren die in modernen Regex-Engines eingesetzten Abwehrmechanismen. Zur Verbesserung von Reproduzierbarkeit und Evaluation im JavaScript-Ökosystem stellen wir SecBench.js vor, eine Benchmark-Suite realer Schwachstellen und ausführbarer Exploits für das npm-Ökosystem. Abschließend präsentieren wir Graphia, einen auf Graph-Neuronalen Netzen basierenden Ansatz für das ganzheitliche Call-Graph-Reasoning in JavaScript, der komplexe Aufrufbeziehungen rekonstruiert, die von traditionellen statischen Analysen übersehen werden. Zusammengenommen zeigen diese Beiträge, dass die Bewältigung der Herausforderungen moderner Softwaretechnik einen Perspektivwechsel hin zu einem sozio-technischen Ansatz erfordert, der soziale und sprachliche Kontexte mit systemweiter Analyse von Komplexität, Skalierung und Sicherheit integriert.