AlmaLinux cung cấp Tờ khai vật liệu phần mềm (SBOM) cho các bản phát hành của mình.
SBOM là gì?
SBOM, viết tắt của Software Bill of Materials (Tờ khai vật liệu phần mềm), tương tự như “danh sách thành phần” cho một kho mã. Nó giúp nhận diện nội dung của phần mềm, bao gồm các thành phần nguồn mở và bên thứ ba được sử dụng, thông tin cấp phép, phiên bản của các thành phần và các lỗ hổng đã biết trong đó.
SBOM là “danh sách thành phần”, mã nguồn là các thành phần, hệ thống xây dựng là “căn bếp” nơi những thành phần đó được chế biến thành sản phẩm phần mềm cuối cùng mà bạn sử dụng.
Tại sao SBOM lại quan trọng?
Phần mềm nguồn mở được sử dụng rộng rãi trong các ứng dụng, nhưng điều đó đã dẫn đến việc phát hiện nhiều cuộc tấn công và lỗ hổng nổi bật. SBOM nhằm mang lại cho cộng đồng và người dùng nguồn mở sự minh bạch hơn nữa, cùng cách hiệu quả để nhận diện (khi có rủi ro) từng tệp, thư viện, phụ thuộc…, từ đó tăng cường sự tin tưởng vào việc sử dụng phần mềm nguồn mở.
The Linux Foundation cũng nghĩ vậy…
The Linux Foundation và Open Source Security Foundation (OpenSSF) cũng đã xây dựng kế hoạch mang tên Source Software Security Mobilization Plan kêu gọi hành động của ngành để phát triển các khung cấu trúc thành phần của phần mềm, bao gồm SBOM, nhằm đẩy nhanh việc phát hiện và ứng phó với các lỗ hổng tương lai như Log4j.
...Và chính vị tổng thống
SBOM đã được nêu bật như một phần then chốt trong giải pháp do tổng thống trình bày tại Executive Order on Improving the Nation’s Cybersecurity.
"the term “Software Bill of Materials” or “SBOM” means a formal record containing the details and supply chain relationships of various components used in building software. Software developers and vendors often create products by assembling existing open source and commercial software components. The SBOM enumerates these components in a product. It is analogous to a list of ingredients on food packaging."
AlmaLinux cung cấp gì
The AlmaLinux Build System đã triển khai SBOM vào quy trình xây dựng vì những lý do nêu trên, nhằm:
- Theo dõi toàn bộ quy trình xây dựng, từ việc lấy mã nguồn từ kho git CentOS đến khi phát hành gói đã xác minh và ký trong kho công khai
- Làm cho quy trình xây dựng an toàn hơn, như đảm bảo chỉ dùng nguồn đáng tin cậy và tránh hậu quả của các cuộc tấn công
- Giảm số cách gây hư hỏng dữ liệu
Chúng tôi làm điều này như thế nào?
AlmaLinux tận dụng sản phẩm nguồn mở của Codenotary immudb để cung cấp cho quản trị viên khả năng xác thực, kiểm tra và toàn quyền xem SBOM.
- Hệ thống xây dựng AlmaLinux lưu dữ liệu SBOM bên trong immudb, tiêu chuẩn nguồn mở cho cơ sở dữ liệu bất biến, được một số công ty và chính phủ hàng đầu thế giới sử dụng.
- immudb được bảo vệ chống can thiệp. Toàn bộ dữ liệu chứng thực được kiểm tra toàn vẹn và xác minh bằng mật mã bởi máy khách. Không ai có thể thay đổi dữ liệu này, dù là AlmaLinux hay bất kỳ ai khác.
- immudb cũng được bảo vệ chống tấn công MITM. Khóa mã hóa được xác minh phía máy khách và kiểm tra trước mỗi lần giao tiếp.
Bắt đầu sử dụng
Để biết thêm, xem wiki AlmaLinux: https://github.com/AlmaLinux/build-system/wiki/Codenotary-SBOM-integration
