AlmaLinux biedt een Software Bill of Materials (SBOM) voor zijn releases.
Wat is een SBOM?
Een SBOM, de afkorting van Software Bill of Materials, is zoiets als een “ingrediëntenlijst” voor een codebasis. Het helpt om de inhoud van software te achterhalen, waaronder welke open-source- en componenten van derden worden gebruikt, licentie-informatie, de versies van de componenten en of er bekende kwetsbaarheden in die componenten zitten.
De SBOM is de “ingrediëntenlijst”, de code vormt de ingrediënten en het buildsysteem is de “keuken” waarin die ingrediënten worden omgezet in de definitieve software die je gebruikt.
Waarom zijn SBOM's belangrijk?
Open-source-software wordt veelvuldig gebruikt in applicaties, maar het heeft ook geleid tot de ontdekking van spraakmakende hacks en kwetsbaarheden. SBOM's moeten de gemeenschap en gebruikers van open source nog meer transparantie bieden en een efficiënte manier om (in geval van een risico) afzonderlijke bestanden, bibliotheken, afhankelijkheden enz. te identificeren, waardoor het vertrouwen in het gebruik van open-source-software toeneemt.
The Linux Foundation denkt er ook zo over…
De Linux Foundation en de Open Source Security Foundation (OpenSSF) hebben ook een plan opgesteld met de naam Source Software Security Mobilization Plan die de industrie oproept om softwarecomponentenframeworks, waaronder SBOM's, te ontwikkelen en zo de ontdekking van en reactie op toekomstige kwetsbaarheden zoals Log4j te versnellen.
...En de president zelf
Een SBOM is naar voren gebracht als een belangrijk onderdeel van de oplossing die de president presenteerde in de Executive Order on Improving the Nation’s Cybersecurity.
"the term “Software Bill of Materials” or “SBOM” means a formal record containing the details and supply chain relationships of various components used in building software. Software developers and vendors often create products by assembling existing open source and commercial software components. The SBOM enumerates these components in a product. It is analogous to a list of ingredients on food packaging."
Wat AlmaLinux biedt
The AlmaLinux Build System heeft om de bovenstaande redenen SBOM in de pipeline verwerkt, zodat het volgende mogelijk is:
- Het volledige buildproces volgen, van het ophalen van bronnen uit de CentOS-git-repository's tot het uitbrengen van een geverifieerd en ondertekend pakket in de openbare repository
- De buildpipeline veiliger maken, zoals het gebruik van alleen vertrouwde bronnen voor builds en het voorkomen van de gevolgen van aanvallen
- Het aantal manieren waarop gegevens kunnen worden beschadigd verminderen
Hoe doen we dit?
AlmaLinux maakt gebruik van Codenotarys open-source immudb om beheerders authenticatie, verificatie en volledige SBOM-zichtbaarheid te bieden.
- Het AlmaLinux Build System slaat SBOM-gegevens op in immudb, de open-source-standaard voor onveranderlijke databases, die wordt gebruikt door enkele van ’s werelds toonaangevende bedrijven en overheden.
- immudb is beschermd tegen manipulatie. Alle attestatiegegevens worden door clients gecontroleerd op integriteit en cryptografisch geverifieerd. Niemand kan deze gegevens wijzigen, niet AlmaLinux en niemand anders.
- immudb is ook beschermd tegen MITM-aanvallen. De encryptiesleutel wordt aan clientzijde geverifieerd en gecontroleerd vóór elke communicatie.
Eerste stappen
Voor meer informatie raadpleeg de AlmaLinux-wiki: https://github.com/AlmaLinux/build-system/wiki/Codenotary-SBOM-integration
