AlmaLinux oferă o listă de componente software (SBOM) pentru versiunile sale.
Ce este un SBOM?
SBOM, prescurtare de la Software Bill of Materials, este echivalentul unei „liste de ingrediente” pentru un set de cod. Ajută la identificarea conținutului unui program, inclusiv ce componente open source și de la terți sunt folosite, informațiile de licențiere, versiunile componentelor' și dacă există vulnerabilități cunoscute în acele componente.
SBOM-ul este „lista de ingrediente”, codul este ingredientul, iar sistemul de build este „bucătăria” în care acele ingrediente devin programul final pe care îl folosești.
De ce sunt importante SBOM-urile?
Software-ul open source este folosit pe scară largă în aplicații, dar acest lucru a dus la descoperirea unor atacuri și vulnerabilități de amploare. SBOM-urile oferă comunității și utilizatorilor open source și mai multă transparență, precum și o modalitate eficientă de a identifica (în cazul unui risc) fișierele, bibliotecile, dependențele etc., crescând astfel încrederea în folosirea software-ului open source.
The Linux Foundation crede la fel…
Fundația Linux și Fundația pentru Securitate Open Source (OpenSSF) au creat, de asemenea, un plan numit Source Software Security Mobilization Plan care solicită acțiunea industriei pentru dezvoltarea unor cadre privind componentele software, inclusiv SBOM, pentru a accelera identificarea și tratarea viitoarelor vulnerabilități, precum Log4j.
...Și președintele însuși
SBOM a fost evidențiat ca parte cheie a soluției prezentate de președinte în Executive Order on Improving the Nation’s Cybersecurity.
"the term “Software Bill of Materials” or “SBOM” means a formal record containing the details and supply chain relationships of various components used in building software. Software developers and vendors often create products by assembling existing open source and commercial software components. The SBOM enumerates these components in a product. It is analogous to a list of ingredients on food packaging."
Ce oferă AlmaLinux
The AlmaLinux Build System a implementat SBOM în fluxul de lucru din motivele enumerate mai sus, pentru a permite:
- Urmărirea întregului proces de build, de la preluarea surselor din depozitele git CentOS până la publicarea unui pachet verificat și semnat în depozitul public
- Securizarea fluxului de build, prin garantarea folosirii doar a surselor de încredere pentru compilări, evitarea consecințelor atacurilor etc
- Reducerea numărului de modalități de corupere a datelor
Cum facem asta?
AlmaLinux folosește unealta open source de la Codenotary immudb pentru a oferi administratorilor autentificare, verificare și vizibilitate completă asupra SBOM.
- Sistemul de build AlmaLinux stochează datele SBOM în immudb, standardul open source pentru baze de date imutabile, folosit de unele dintre cele mai importante companii și guverne din lume.
- immudb este protejat împotriva manipulării. Toate datele de atestare sunt verificate pentru integritate și confirmate criptografic de clienți. Nimeni nu poate schimba aceste date, nici AlmaLinux, nici altcineva.
- immudb este, de asemenea, protejat împotriva atacurilor de tip MITM. Cheia de criptare este verificată și controlată pe partea clientului înainte de fiecare comunicare.
Primii pași
Pentru mai multe informații, consultă wiki-ul AlmaLinux: https://github.com/AlmaLinux/build-system/wiki/Codenotary-SBOM-integration
