AlmaLinux предоставляет спецификацию программного обеспечения (SBOM) для своих выпусков.
Что такое SBOM?
SBOM, что расшифровывается как Software Bill of Materials («спецификация программного обеспечения»), — это что-то вроде «списка ингредиентов» для базы кода. Он позволяет определить состав программного обеспечения: какие используются компоненты с открытым исходным кодом и сторонние компоненты, сведения о лицензиях, версии компонентов и известные уязвимости в этих компонентах.
SBOM — это «список ингредиентов», код — ингредиенты, а система сборки — «кухня», где эти ингредиенты превращаются в конечный продукт: то программное обеспечение, которым вы пользуетесь.
Почему SBOM важны?
Программное обеспечение с открытым исходным кодом широко используется в приложениях, но оно стало причиной обнаружения резонансных взломов и уязвимостей. SBOM призваны предоставить сообществу и пользователям открытого исходного кода ещё большую прозрачность и удобный способ идентифицировать (в случае риска) отдельные файлы, библиотеки, зависимости и т. д., тем самым повышая доверие к использованию программного обеспечения с открытым исходным кодом.
The Linux Foundation тоже так думает…
Linux Foundation и Open Source Security Foundation (OpenSSF) также разработали план под названием Source Software Security Mobilization Plan который призывает отрасль к разработке фреймворков для программных компонентов, включая SBOM, чтобы ускорить обнаружение и устранение будущих уязвимостей вроде Log4j.
...И сам президент
SBOM был отмечен как ключевая часть решения, представленного президентом в Executive Order on Improving the Nation’s Cybersecurity.
"the term “Software Bill of Materials” or “SBOM” means a formal record containing the details and supply chain relationships of various components used in building software. Software developers and vendors often create products by assembling existing open source and commercial software components. The SBOM enumerates these components in a product. It is analogous to a list of ingredients on food packaging."
Что предоставляет AlmaLinux
The AlmaLinux Build System внедрил SBOM в конвейер по причинам, перечисленным выше, чтобы обеспечить:
- Отслеживание всего процесса сборки: от получения исходных кодов из git-репозиториев CentOS до выпуска проверенного и подписанного пакета в общедоступном репозитории
- Повышение безопасности конвейера, например обеспечение использования только доверенных источников для сборок, избежание последствий атак и так далее
- Уменьшение количества способов повреждения данных
Как мы это делаем?
AlmaLinux использует решение с открытым исходным кодом от Codenotary immudb чтобы предоставить администраторам аутентификацию, проверку и полный обзор SBOM.
- Система сборки AlmaLinux хранит данные SBOM в immudb, являющееся открытым стандартом для неизменяемых баз данных и применяемое некоторыми ведущими мировыми компаниями и государствами.
- immudb защищён от подделки данных. Все данные аттестации проверяются на целостность и подтверждаются криптографически самими клиентами. Никто не может изменить эти данные, ни AlmaLinux, ни кто-либо другой.
- immudb также защищён от MITM-атак. Ключ шифрования проверяется на стороне клиента перед каждым обменом данными.
Начало работы
Подробнее см. в вики AlmaLinux: https://github.com/AlmaLinux/build-system/wiki/Codenotary-SBOM-integration
