AlmaLinux menyediakan Software Bill of Materials (SBOM) untuk rilisnya.
Apa itu SBOM?
SBOM, yang merupakan singkatan dari Software Bill of Materials, adalah semacam “daftar bahan” untuk sebuah codebase. Ini membantu mengidentifikasi isi perangkat lunak, termasuk komponen open source dan pihak ketiga yang digunakan, informasi lisensi, versi komponen, dan apakah ada kerentanan yang diketahui pada komponen tersebut.
SBOM adalah “daftar bahan”, kode adalah bahan-bahannya, dan sistem build adalah “dapur” tempat bahan-bahan tersebut diolah menjadi perangkat lunak akhir yang Anda gunakan.
Mengapa SBOM penting?
Perangkat lunak open source digunakan secara luas dalam aplikasi, tetapi hal ini juga menyebabkan ditemukannya peretasan dan kerentanan besar. SBOM dimaksudkan untuk memberikan transparansi yang lebih besar kepada komunitas dan pengguna open source, serta cara yang efisien untuk mengidentifikasi file, library, dependency, dan lain-lain secara individual jika terjadi risiko, sehingga meningkatkan kepercayaan dan keyakinan dalam penggunaan perangkat lunak open source.
The Linux Foundation juga berpandangan demikian…
Linux Foundation dan Open Source Security Foundation (OpenSSF) juga telah menyusun rencana yang disebut Source Software Security Mobilization Plan yang menyerukan tindakan industri untuk mengembangkan kerangka kerja komponen perangkat lunak, termasuk SBOM, guna mempercepat penemuan dan respons terhadap kerentanan di masa depan seperti Log4j.
...Dan presiden sendiri
SBOM telah disorot sebagai bagian penting dari solusi yang diajukan oleh presiden dalam Executive Order on Improving the Nation’s Cybersecurity.
"the term “Software Bill of Materials” or “SBOM” means a formal record containing the details and supply chain relationships of various components used in building software. Software developers and vendors often create products by assembling existing open source and commercial software components. The SBOM enumerates these components in a product. It is analogous to a list of ingredients on food packaging."
Apa yang Disediakan AlmaLinux
The AlmaLinux Build System telah menerapkan SBOM ke dalam pipeline untuk alasan-alasan yang disebutkan di atas, agar memungkinkan:
- Menelusuri seluruh proses build, mulai dari mengambil source dari repositori git CentOS hingga merilis paket yang telah diverifikasi dan ditandatangani ke repositori publik
- Membuat pipeline build lebih aman, seperti memastikan hanya source tepercaya yang digunakan untuk build, menghindari dampak serangan, dan sebagainya
- Mengurangi jumlah cara terjadinya korupsi data
Bagaimana kami melakukannya?
AlmaLinux memanfaatkan immudb open source dari Codenotary untuk menyediakan autentikasi, verifikasi, dan visibilitas penuh SBOM bagi administrator.
- Sistem Build AlmaLinux menyimpan data SBOM di dalam immudb, standar open source untuk database immutable, yang digunakan oleh sejumlah perusahaan dan pemerintah terkemuka di dunia.
- immudb terlindungi dari upaya manipulasi. Semua data attestation diperiksa integritasnya dan diverifikasi secara kriptografis oleh klien. Tidak seorang pun dapat mengubah data ini, termasuk AlmaLinux atau pihak lain mana pun.
- immudb juga terlindungi dari serangan MITM. Kunci enkripsi diverifikasi di sisi klien dan diperiksa sebelum setiap komunikasi.
Memulai
Untuk informasi lebih lanjut, lihat wiki AlmaLinux: https://github.com/AlmaLinux/build-system/wiki/Codenotary-SBOM-integration
