AlmaLinux savo išleidimams teikia programinės įrangos medžiagų sąrašą (SBOM).
Kas yra SBOM?
SBOM, reiškiantis Software Bill of Materials (programinės įrangos medžiagų sąrašas), yra kažkas panašaus į „ingredientų sąrašą“ kodų bazei. Jis padeda nustatyti programinės įrangos turinį, įskaitant kokius atviro kodo ir trečiųjų šalių komponentus naudoja, licencijavimo informaciją, komponentų versijas ir ar tuose komponentuose yra žinomų pažeidžiamumų.
SBOM yra „ingredientų sąrašas“, kodas yra ingredientai, o kūrimo sistema yra „virtuvė“, kurioje tie ingredientai sukuriami į galutinę programinę įrangą, kurią naudojate.
Kodėl SBOM yra svarbūs?
Atviro kodo programinė įranga plačiai naudojama programose, bet tai lėmė didelio profilio įsilaužimų ir pažeidžiamumų atradimą. SBOM skirti suteikti bendruomenei ir atviro kodo naudotojams dar daugiau skaidrumo bei efektyvų būdą nustatyti (kilus rizikai) atskirus failus, bibliotekas, priklausomybes ir kt., taip didinant pasitikėjimą atviro kodo programinės įrangos naudojimu.
The Linux Foundation taip mano ir…
Linux Foundation ir Open Source Security Foundation (OpenSSF) taip pat parengė planą, vadinamą Source Software Security Mobilization Plan kuris ragina pramonę kurti programinės įrangos komponentų sistemas, įskaitant SBOM, paspartinti tokių pažeidžiamumų kaip Log4j atradimą ir reakciją į juos.
...Ir pats prezidentas
SBOM buvo išskirtas kaip svarbi sprendimo dalis, kurią prezidentas pristatė Executive Order on Improving the Nation’s Cybersecurity.
"the term “Software Bill of Materials” or “SBOM” means a formal record containing the details and supply chain relationships of various components used in building software. Software developers and vendors often create products by assembling existing open source and commercial software components. The SBOM enumerates these components in a product. It is analogous to a list of ingredients on food packaging."
Ką teikia AlmaLinux
The AlmaLinux Build System įgyvendino SBOM į pratekėjimą dėl aukščiau išvardytų priežasčių, kad būtų galima:
- Viso kūrimo proceso atsekimas nuo šaltinių gavimo iš CentOS git saugyklų iki patikrinto ir pasirašyto paketo paskelbimo viešoje saugykloje
- Kūrimo pratekėjimo padarymas saugesniu, užtikrinant, kad kūrimui būtų naudojami tik patikimi šaltiniai, išvengiant atakų pasekmių ir kitų padarinių
- Duomenų sugadinimo būdų skaičiaus mažinimas
Kaip mes tai darome?
AlmaLinux naudoja Codenotary atviro kodo immudb kad administratoriams suteiktų autentifikavimą, patikrinimą ir visišką SBOM matomumą.
- AlmaLinux kūrimo sistema saugo SBOM duomenis immudb viduje, nekintamų duomenų bazių atviro kodo standartas, naudojamas kai kurių pasaulio pirmaujančių įmonių ir vyriausybių.
- immudb apsaugotas nuo klastojimo. Visi patvirtinimo duomenys tikrinami dėl vientisumo ir kriptografiškai tikrinami klientų. Niekas negali pakeisti šių duomenų, nei AlmaLinux, nei kas nors kitas.
- immudb taip pat apsaugotas nuo MITM atakų. Šifravimo raktas tikrinamas kliento pusėje prieš kiekvieną ryšį.
Pradžia
Norėdami daugiau informacijos, žiūrėkite Almalinux wiki: https://github.com/AlmaLinux/build-system/wiki/Codenotary-SBOM-integration
