AlmaLinux saviem izdevumiem nodrošina programmatūras materiālu sarakstu (SBOM).
Kas ir SBOM?
SBOM, kas nozīmē programmatūras materiālu sarakstu (Software Bill of Materials), ir kaut kas līdzīgs “sastāvdaļu sarakstam” kodu bāzei. Tas palīdz identificēt programmatūras saturu, tostarp to, kādi atvērta koda un trešo pušu komponenti tiek izmantoti, licencēšanas informāciju, komponentu versijas un vai šajos komponentos ir zināmas ievainojamības.
SBOM ir “sastāvdaļu saraksts”, kods ir sastāvdaļas, un būvēšanas sistēma ir “virtuve”, kur šīs sastāvdaļas tiek uzbūvētas par gala programmatūru, ko jūs lietojat.
Kāpēc SBOM ir svarīgi?
Atvērtā koda programmatūra plaši tiek izmantota lietojumprogrammās, taču tas ir novedis pie augsta profila uzlaušanu un ievainojamību atklāšanas. SBOM ir domāti, lai kopienai un atvērtā koda lietotājiem sniegtu vēl lielāku caurspīdīgumu un efektīvu veidu, kā identificēt (gadījumā, ja ir risks) atsevišķus failus, bibliotēkas, atkarības u. t. t., tādējādi palielinot uzticību atvērtā koda programmatūras izmantošanai.
The Linux Foundation arī tā domā…
Linux Foundation un Open Source Security Foundation (OpenSSF) ir arī izstrādājuši plānu ar nosaukumu Source Software Security Mobilization Plan kas aicina nozari rīkoties, lai izstrādātu programmatūras komponentu struktūras, tostarp SBOM, lai paātrinātu nākotnes ievainojamību, piemēram, Log4j, atklāšanu un reakciju.
...Un pats prezidents
SBOM ir izcelts kā galvenā risinājuma daļa, ko prezidents prezentēja Executive Order on Improving the Nation’s Cybersecurity.
"the term “Software Bill of Materials” or “SBOM” means a formal record containing the details and supply chain relationships of various components used in building software. Software developers and vendors often create products by assembling existing open source and commercial software components. The SBOM enumerates these components in a product. It is analogous to a list of ingredients on food packaging."
Ko AlmaLinux nodrošina
The AlmaLinux Build System ir ieviesis SBOM plūsmā iepriekš minēto iemeslu dēļ, lai nodrošinātu:
- Viss būvēšanas procesa izsekošana no avotu vilkšanas no CentOS git repozitorijiem līdz verificēta un parakstīta pakotnes publicēšanai publiskajā repozitorijā
- Būvēšanas plūsmas drošības uzlabošana, piemēram, nodrošinot, ka būvēšanai tiek izmantoti tikai uzticami avoti, izvairoties no uzbrukumu sekām u. t. t
- Datu bojājumu veidu skaita samazināšana
Kā mēs to darām?
AlmaLinux izmanto Codenotary atvērtā koda immudb lai administratoriem nodrošinātu autentifikāciju, verifikāciju un pilnu SBOM redzamību.
- AlmaLinux būvēšanas sistēma glabā SBOM datus iekšpusē immudb, atvērta koda standartu nemainīgām datu bāzēm, ko izmanto daži no pasaules vadošajiem uzņēmumiem un valdībām.
- immudb ir aizsargāts pret manipulācijām. Visi apliecinājumu dati tiek pārbaudīti pēc integritātes un kriptogrāfiski verificēti no klientu puses. Neviens nevar mainīt šos datus, ne AlmaLinux, ne kas cits.
- immudb ir aizsargāts arī pret MITM uzbrukumiem. Šifrēšanas atslēga tiek verificēta klienta pusē un pārbaudīta pirms katras saziņas.
Kā sākt
Plašākai informācijai skatiet AlmaLinux wiki: https://github.com/AlmaLinux/build-system/wiki/Codenotary-SBOM-integration
