AlmaLinux leverer en Software Bill of Materials (SBOM) til sine udgivelser.
Hvad er en SBOM?
SBOM, som står for Software Bill of Materials, svarer til en "ingrediensliste" for en kodebase. Den hjælper med at identificere indholdet af softwaren, herunder hvilke open source- og tredjeparts-komponenter der bruges, licensoplysninger, komponenternes versioner, og om der er kendte sårbarheder i disse komponenter.
SBOM er "ingredienslisten", koden er ingredienserne, byggesystemet er "køkkenet", hvor ingredienserne bygges til det færdige stykke software, som du bruger.
Hvorfor er SBOM vigtige?
Open source-software bruges i vid udstrækning i applikationer, men det har ført til opdagelsen af højt profilerede hackerangreb og sårbarheder. SBOM skal give fællesskabet og brugerne af open source endnu mere gennemsigtighed og en effektiv måde at identificere enkelte filer, biblioteker, afhængigheder osv. (i tilfælde af risiko), hvilket øger tilliden til og trygheden ved brugen af open source-software.
The Linux Foundation mener det samme…
Linux Foundation og Open Source Security Foundation (OpenSSF) har også udarbejdet en plan med navnet Source Software Security Mobilization Plan som opfordrer branchen til handling for at udvikle rammer til softwarekomponenter, herunder SBOM, for at fremskynde opdagelsen af og reaktionen på fremtidige sårbarheder som Log4j.
...Og præsidenten selv
En SBOM er blevet fremhævet som en central del af den løsning, præsidenten præsenterede i Executive Order on Improving the Nation’s Cybersecurity.
"the term “Software Bill of Materials” or “SBOM” means a formal record containing the details and supply chain relationships of various components used in building software. Software developers and vendors often create products by assembling existing open source and commercial software components. The SBOM enumerates these components in a product. It is analogous to a list of ingredients on food packaging."
Hvad AlmaLinux leverer
The AlmaLinux Build System har implementeret SBOM i pipeline af de ovenstående grunde for at muliggøre:
- Sporing af hele byggeprocessen fra hentning af kilder fra CentOS git-repositories til udgivelse af en verificeret og signeret pakke i det offentlige repository
- Gør byggepipelinen mere sikker, f.eks. ved at sikre, at kun betroede kilder bruges til builds, og undgå konsekvenser af angreb
- Reducering af antallet af måder, data kan blive beskadiget på
Hvordan gør vi dette?
AlmaLinux bruger Codenotarys open source immudb til at give administratorer autentificering, verificering og fuld SBOM-synlighed.
- AlmaLinux Build System lagrer SBOM-data i immudb, standarden for open source til uforanderlige databaser, brugt af nogle af verdens førende virksomheder og regeringer.
- immudb er beskyttet mod manipulering. Alle attesteringsdata kontrolleres for integritet og verificeres kryptografisk af klienterne. Ingen kan ændre disse data – hverken AlmaLinux eller nogen andre.
- immudb er også beskyttet mod MITM-angreb. Nøglen verificeres og kontrolleres på klientsiden før hver kommunikation.
Kom godt i gang
Se AlmaLinux-wikien for mere information: https://github.com/AlmaLinux/build-system/wiki/Codenotary-SBOM-integration
