Το AlmaLinux παρέχει ένα Software Bill of Materials (SBOM) για τις κυκλοφορίες του.
Τι είναι ένα SBOM;
Το SBOM, που σημαίνει Software Bill of Materials, είναι κάτι παρόμοιο με μία «λίστα υλικών» για μια βάση κώδικα. Βοηθά να ταυτοποιήσει το περιεχόμενο του λογισμικού, συμπεριλαμβανομένου των ανοιχτού κώδικα και συστατικών τρίτων μερών που χρησιμοποιούνται, των πληροφοριών αδειοδότησης, των εκδόσεων των συστατικών και τυχόν γνωστών ευπαθειών σε αυτά τα συστατικά.
Το SBOM είναι η «λίστα υλικών», ο κώδικας είναι τα υλικά, το σύστημα κατασκευής είναι η «κουζίνα» όπου τα υλικά αυτά κατασκευάζονται στο τελικό κομμάτι λογισμικού που χρησιμοποιείς.
Γιατί είναι σημαντικά τα SBOM;
Το λογισμικό ανοιχτού κώδικα χρησιμοποιείται εκτενώς σε εφαρμογές, αλλά έχει οδηγήσει στην ανακάλυψη υψηλού προφίλ επιθέσεων και ευπαθειών. Τα SBOM σχεδιάστηκαν για να προσφέρουν στην κοινότητα και στους χρήστες του ανοιχτού κώδικα ακόμη μεγαλύτερη διαφάνεια και έναν αποτελεσματικό τρόπο ταυτοποίησης (σε περίπτωση κινδύνου) μεμονωμένων αρχείων, βιβλιοθηκών, εξαρτήσεων κ.λπ., αυξάνοντας έτσι την εμπιστοσύνη στη χρήση του λογισμικού ανοιχτού κώδικα.
The Linux Foundation το πιστεύει κι αυτός…
Η Linux Foundation και η Open Source Security Foundation (OpenSSF) έχουν επίσης συντάξει ένα σχέδιο με τον τίτλο Source Software Security Mobilization Plan που καλεί τη βιομηχανία σε δράση για την ανάπτυξη πλαισίων συστατικών λογισμικού, συμπεριλαμβανομένων των SBOM, ώστε να επιταχυνθεί η ανίχνευση και η ανταπόκριση σε μελλοντικές ευπάθειες όπως το Log4j.
...Και ο ίδιος ο πρόεδρος
Το SBOM έχει τεθεί στο προσκήνιο ως βασικό κομμάτι της λύσης που παρουσίασε ο πρόεδρος στο Executive Order on Improving the Nation’s Cybersecurity.
"the term “Software Bill of Materials” or “SBOM” means a formal record containing the details and supply chain relationships of various components used in building software. Software developers and vendors often create products by assembling existing open source and commercial software components. The SBOM enumerates these components in a product. It is analogous to a list of ingredients on food packaging."
Τι Παρέχει το AlmaLinux
The AlmaLinux Build System έχει ενσωματώσει το SBOM στη ροή εργασιών για τους λόγους που αναφέρθηκαν παραπάνω, ώστε να διαθέσει:
- Παρακολούθηση όλης της διαδικασίας κατασκευής από την ανάκτηση πηγών από τα αποθετήρια git του CentOS έως την κυκλοφορία ενός ελεγμένου και υπογεγραμμένου πακέτου στο δημόσιο αποθετήριο
- Ασφαλέστερη ροή εργασιών κατασκευής, π.χ. εξασφαλίζοντας ότι χρησιμοποιούνται μόνο αξιόπιστες πηγές για τις κατασκευές και αποφεύγοντας τις συνέπειες επιθέσεων
- Μείωση του αριθμού των τρόπων αλλοίωσης δεδομένων
Πώς το κάνουμε αυτό;
Το AlmaLinux χρησιμοποιεί τον ανοιχτό κώδικα της Codenotary immudb για να παρέχει στους διαχειριστές πιστοποίηση, επαλήθευση και πλήρη ορατότητα SBOM.
- Το AlmaLinux Build System αποθηκεύει τα δεδομένα SBOM μέσα στο immudb, το πρότυπο ανοιχτού κώδικα για αμετάβλητες βάσεις δεδομένων, που χρησιμοποιείται από ορισμένες από τις κορυφαίες εταιρείες και κυβερνήσεις του κόσμου.
- Το immudb προστατεύεται από παραποίηση. Όλα τα δεδομένα πιστοποίησης ελέγχονται ως προς την ακεραιότητα και επαληθεύονται κρυπτογραφικά από τους πελάτες. Κανένας δεν μπορεί να αλλάξει αυτά τα δεδομένα, ούτε το AlmaLinux ούτε κάποιος άλλος.
- Το immudb προστατεύεται επίσης από επιθέσεις MITM. Το κλειδί κρυπτογράφησης επαληθεύεται και ελέγχεται από την πλευρά του πελάτη πριν από κάθε επικοινωνία.
Πρώτα βήματα
Για περισσότερες πληροφορίες, δες το wiki του AlmaLinux: https://github.com/AlmaLinux/build-system/wiki/Codenotary-SBOM-integration
