آلما لینوکس برای انتشارات خود یک فهرست مواد نرم‌افزاری (SBOM) ارائه می‌دهد.
SBOM چیست؟
SBOM که مخفف Software Bill of Materials است، چیزی شبیه به «فهرست مواد» برای یک پایگاه کد است. این امکان را فراهم می‌کند تا محتوای نرم‌افزار، از جمله اینکه از چه مؤلفه‌های متن‌باز و شخص ثالثی استفاده شده، اطلاعات مجوز، نسخه‌های مؤلفه‌ها و اینکه آیا آسیب‌پذیری‌های شناخته‌شده‌ای در آن مؤلفه‌ها وجود دارد، شناسایی شود.
SBOM همان «فهرست مواد» است، کد مواد اولیه هستند و سیستم ساخت «آشپزخانه‌ای» است که در آن مواد اولیه به نرم‌افزار نهایی‌ای تبدیل می‌شوند که شما استفاده می‌کنید.
چرا SBOMها اهمیت دارند؟
نرم‌افزار متن‌باز به‌طور گسترده در برنامه‌ها استفاده می‌شود، اما همین امر به کشف حملات و آسیب‌پذیری‌های پرسروصدا منجر شده است. SBOMها قرار است شفافیت بیشتری به جامعه و کاربران متن‌باز بدهند و راهی کارآمد برای شناسایی (در صورت بروز ریسک) فایل‌ها، کتابخانه‌ها، وابستگی‌ها و غیره فراهم کنند و بدین ترتیب اعتماد و اطمینان به استفاده از نرم‌افزار متن‌باز را افزایش دهند.
The Linux Foundation همچنین چنین می‌اندیشد…
بنیاد لینوکس و بنیاد امنیت متن‌باز (OpenSSF) نیز طرحی به نام Source Software Security Mobilization Plan تهیه کرده‌اند که خواستار اقدام صنعت برای توسعه چارچوب‌های مؤلفه نرم‌افزاری، از جمله SBOMها، برای تسریع کشف و واکنش به آسیب‌پذیری‌های آینده مانند Log4j است.
...و خود رئیس‌جمهور
SBOM به‌عنوان بخش کلیدی راه‌حل ارائه‌شده توسط رئیس در Executive Order on Improving the Nation’s Cybersecurity.
"the term “Software Bill of Materials” or “SBOM” means a formal record containing the details and supply chain relationships of various components used in building software. Software developers and vendors often create products by assembling existing open source and commercial software components. The SBOM enumerates these components in a product. It is analogous to a list of ingredients on food packaging."
آنچه آلما لینوکس ارائه می‌دهد
The AlmaLinux Build System SBOM را به دلایل فوق در خط لوله پیاده‌سازی کرده است تا این امکانات فراهم شود:
- ردیابی کل فرآیند ساخت، از کشیدن منابع از مخازن git CentOS تا انتشار بسته‌ای تأییدشده و امضاشده در مخزن عمومی
- ایمن‌تر کردن خط لوله ساخت، مانند اطمینان از اینکه فقط منابع قابل اعتماد برای ساخت استفاده شوند، جلوگیری از پیامدهای حملات و غیره
- کاهش شیوه‌های خرابی داده‌ها
چگونه این کار را انجام می‌دهیم؟
آلما لینوکس از متن‌باز Codenotary immudb استفاده می‌کند تا به مدیران سیستم احراز هویت، تأیید و دید کامل SBOM ارائه دهد.
- سیستم ساخت آلما لینوکس داده‌های SBOM را درون immudb ذخیره می‌کند، استاندارد متن‌باز برای پایگاه‌داده‌های تغییرناپذیر که توسط برخی از پیشروترین شرکت‌ها و دولت‌های جهان استفاده می‌شود.
- immudb در برابر دستکاری محافظت شده است. همه داده‌های گواهی از نظر یکپارچگی بررسی و توسط کلاینت‌ها از نظر رمزنگاری تأیید می‌شوند. هیچ‌کس نمی‌تواند این داده‌ها را تغییر دهد، نه آلما لینوکس و نه هیچ‌کس دیگر.
- immudb همچنین در برابر حملات MITM محافظت شده است. کلید رمزنگاری در سمت کلاینت پیش از هر ارتباطی بررسی و کنترل می‌شود.
شروع به کار
برای اطلاعات بیشتر، ویکی آلما لینوکس را ببینید: https://github.com/AlmaLinux/build-system/wiki/Codenotary-SBOM-integration
