ចំពោះ ក្របខ័ណ្ឌ slsa បន្តវិវឌ្ឍ ហើយថ្មី SLSA កំណែ 1.2 ការចេញផ្សាយនាំមកនូវការអាប់ដេតសំខាន់ៗ សម្រាប់អ្នកដែលបង្កើតកម្មវិធីនៅក្នុងសម័យទំនើប pipelines. មិនដូចកំណែមុនៗទេ SLSA v1.2 ផ្តោតសំខាន់លើការអនុម័តជាក់ស្តែង ការធានាប្រភពកាន់តែរឹងមាំ និងច្បាប់ច្បាស់លាស់សម្រាប់ ការបញ្ជាក់ slsaដោយសារតែការវាយប្រហារខ្សែសង្វាក់ផ្គត់ផ្គង់កម្មវិធីនៅតែបន្តកើនឡើង អ្នកអភិវឌ្ឍន៍ឥឡូវនេះត្រូវការវិធីសាមញ្ញ និងអាចទុកចិត្តបានដើម្បីផ្ទៀងផ្ទាត់ពីរបៀបដែលវត្ថុបុរាណនីមួយៗត្រូវបានបង្កើតឡើង និងប្រព័ន្ធណាដែលប៉ះវា។
ការណែនាំនេះពន្យល់អំពីអ្វីដែលថ្មីនៅក្នុង កម្រិតខ្សែសង្វាក់ផ្គត់ផ្គង់សម្រាប់វត្ថុបុរាណកម្មវិធី v1.2, ហេតុអ្វីបានជា ក្របខ័ណ្ឌ slsa កំពុងក្លាយជាមូលដ្ឋានគ្រឹះសម្រាប់ software supply chain security និងរបៀបដែលអ្នកអាចអនុវត្តតម្រូវការទាំងនេះដោយធម្មជាតិនៅក្នុងលំហូរការងារ CI និង CD របស់អ្នក។
១. តើ SLSA ជាអ្វី ហើយហេតុអ្វីបានជាអ្នកអភិវឌ្ឍន៍ពឹងផ្អែកលើ SLSA Framework
SLSA តំណាងឱ្យកម្រិតខ្សែសង្វាក់ផ្គត់ផ្គង់សម្រាប់វត្ថុបុរាណកម្មវិធី។ ក្របខ័ណ្ឌ slsa ការពារខ្សែសង្វាក់ផ្គត់ផ្គង់កម្មវិធី ពីព្រោះវាផ្ទៀងផ្ទាត់ពីរបៀបដែលកូដហូរកាត់ការបង្កើត របៀបដែលភាពអាស្រ័យចូលទៅក្នុងគម្រោង និងរបៀបដែលវត្ថុបុរាណផ្លាស់ទីឆ្លងកាត់។ pipelineទ. វាកំណត់ច្បាប់ច្បាស់លាស់សម្រាប់ប្រភពដើម ភាពឯកោ និងភាពសុចរិត ដើម្បីឱ្យក្រុមយល់ច្បាស់ពីអ្វីដែលពួកគេដឹកជញ្ជូន។
អ្នកអភិវឌ្ឍន៍ពឹងផ្អែកលើកម្រិតខ្សែសង្វាក់ផ្គត់ផ្គង់សម្រាប់វត្ថុបុរាណកម្មវិធី ពីព្រោះវាឆ្លើយសំណួរជាក់ស្តែងមួយ។ តើអ្នកអាចបញ្ជាក់ពីរបៀបដែលប្រព័ន្ធសាងសង់របស់អ្នកបានបង្កើតប្រព័ន្ធគោលពីរ និងថាតើមានអ្វីមួយត្រូវបានរំខានដល់ដំណើរការនោះដែរឬទេ? នេះសំខាន់ណាស់នៅក្នុងការពិត។ pipelineជាកន្លែងដែលភាពអាស្រ័យផ្លាស់ប្តូរជាញឹកញាប់ ហើយការបង្កើតកម្មវិធីត្រូវប្រតិបត្តិនៅទូទាំងប្រព័ន្ធជាច្រើន។ ជាលទ្ធផល SLSA កាត់បន្ថយហានិភ័យនៃការពុលភាពអាស្រ័យ ជំហានបង្កើតដែលសម្របសម្រួល និងការផ្លាស់ប្តូរដែលគ្មានការអនុញ្ញាតដែលលេចឡើងនៅក្នុងលំហូរការងារស្មុគស្មាញ។
2. អ្វីដែលថ្មីនៅក្នុង SLSA កំណែ 1.2
SLSA កំណែ 1.2 ណែនាំការផ្លាស់ប្តូរជាច្រើនដែលធ្វើឱ្យការអនុម័តកាន់តែងាយស្រួល និងកាន់តែប្រាកដនិយមសម្រាប់ក្រុមអភិវឌ្ឍន៍។ ការអាប់ដេតទាំងនេះក៏តម្រឹមលក្ខណៈបច្ចេកទេសជាមួយនឹងរបៀបដែលអង្គការនានាបង្កើតកម្មវិធីនាពេលបច្ចុប្បន្នផងដែរ។
តម្រូវការសាងសង់រឹងមាំជាងមុន
SLSA កំណែ 1.2 បញ្ជាក់ពីតម្រូវការញែកការបង្កើតឡើង ដូច្នេះអ្នកអភិវឌ្ឍន៍អាចយល់បានថាផ្នែកណាខ្លះនៃ pipeline ត្រូវតែគ្រប់គ្រង។ នេះកាត់បន្ថយការភាន់ច្រឡំពីកំណែមុនៗ និងជួយក្រុមអនុវត្តការការពារដែលស៊ីសង្វាក់គ្នាចំពោះអ្នករត់ អ្នកសាងសង់ និងអ្នករៀបចំវង់ភ្លេង។
ការកែប្រែទម្រង់បញ្ជាក់ SLSA v1.2
កំណែថ្មីនេះធ្វើបច្ចុប្បន្នភាពរចនាសម្ព័ន្ធការបញ្ជាក់របស់ slsa ដើម្បីធ្វើឱ្យងាយស្រួលក្នុងការបង្កើត និងប្រើប្រាស់ភស្តុតាង។ ការបញ្ជាក់ឥឡូវនេះងាយស្រួលវិភាគជាងមុន ដែលជួយឧបករណ៍នានាធ្វើស្វ័យប្រវត្តិកម្មការផ្ទៀងផ្ទាត់ជាមួយនឹងជំហានដោយដៃតិចជាងមុន។
តម្រូវការប្រភពដែលបានធ្វើបច្ចុប្បន្នភាព
គ្រោងការណ៍ប្រភពឥឡូវនេះចាប់យកព័ត៌មានបន្ថែមអំពីភាពអាស្រ័យ ប៉ារ៉ាម៉ែត្របង្កើត និងប្រភពដែលទុកចិត្ត។ ជាលទ្ធផល វាកាន់តែងាយស្រួលក្នុងការតាមដានវត្ថុបុរាណនីមួយៗត្រឡប់ទៅប្រភពដើមរបស់វា។
ការបង្កើនសុវត្ថិភាពភាពអាស្រ័យ
ដោយសារតែការវាយប្រហារខ្សែសង្វាក់ផ្គត់ផ្គង់ច្រើនតែចាប់ផ្តើមជាមួយនឹងកញ្ចប់ដែលរងការគំរាមកំហែង កម្រិតខ្សែសង្វាក់ផ្គត់ផ្គង់សម្រាប់វត្ថុបុរាណកម្មវិធី v1.2 ពង្រឹងការរំពឹងទុកជុំវិញការជ្រើសរើសភាពអាស្រ័យ ការគ្រប់គ្រងកំណែ និងការផ្ទៀងផ្ទាត់។
និយមន័យនៃភាពឯកោច្បាស់លាស់ជាងមុន
លក្ខណៈបច្ចេកទេសនេះធ្វើអោយប្រសើរឡើងនូវនិយមន័យសម្រាប់ការសាងសង់ដែលបិទជិត និងបរិស្ថានដាច់ដោយឡែក។ នេះអនុញ្ញាតឱ្យអ្នកអភិវឌ្ឍន៍ផ្ទៀងផ្ទាត់តក្កវិជ្ជាសាងសង់របស់ពួកគេបានកាន់តែត្រឹមត្រូវ និងជៀសវាងការទុកចិត្តដោយចៃដន្យនៅក្នុងប្រព័ន្ធដែលមិនមានសុវត្ថិភាព។
៣. SLSA v1.2 ធៀបនឹងកំណែមុនៗ
ខាងក្រោមនេះជាការប្រៀបធៀបដែលមើលឃើញដែលបង្ហាញពីរបៀបដែល SLSA v1.2 ផ្លាស់ប្តូរការរំពឹងទុកសម្រាប់ប្រភពដើម ភាពឯកោនៃការបង្កើត និងការបញ្ជាក់ slsa។
| តំបន់ | SLSA កំណែ 1.1 | SLSA កំណែ 1.2 |
|---|---|---|
| ភស្តុតាង | ប្រភពដើមមូលដ្ឋានជាមួយនឹងទិន្នន័យមេតានៃការពឹងផ្អែកមានកំណត់ | ប្រភពដើមដែលបានពង្រីកជាមួយនឹងការពឹងផ្អែកកាន់តែស៊ីជម្រៅ និងការតាមដានប៉ារ៉ាម៉ែត្រសាងសង់ |
| ការបញ្ជាក់ | ទម្រង់បញ្ជាក់កាន់តែតឹងរ៉ឹង | គំរូបញ្ជាក់ **slsa** ដែលបានកែលម្អសម្រាប់ស្វ័យប្រវត្តិកម្ម និងការផ្ទៀងផ្ទាត់កាន់តែងាយស្រួល |
| សាងសង់អ៊ីសូឡង់ | ការណែនាំទូទៅអំពីការដាក់ឱ្យនៅដាច់ដោយឡែក | និយមន័យច្បាស់លាស់ជាងសម្រាប់ក្រុមហ៊ុនសាងសង់ដាច់ដោយឡែក និងក្រុមហ៊ុនសាងសង់ដែលបិទជិត |
| ការគ្រប់គ្រងការពឹងផ្អែក | ការរំពឹងទុកមានកំណត់ | ច្បាប់រឹងមាំជាងមុនសម្រាប់ការជ្រើសរើស តាមដាន និងការផ្ទៀងផ្ទាត់ភាពអាស្រ័យ |
| ការលំបាកក្នុងការចិញ្ចឹមកូន | ភាពមិនច្បាស់លាស់ម្តងម្កាលនៅក្នុងតម្រូវការ | កាន់តែជាក់ស្តែង និងងាយស្រួលសម្រាប់ក្រុមអភិវឌ្ឍន៍ក្នុងការអនុវត្ត |
៤. ការយល់ដឹងអំពីការបញ្ជាក់ SLSA
A ការបញ្ជាក់ slsa គឺជាសេចក្តីថ្លែងការណ៍ដែលបានចុះហត្ថលេខា ដែលបញ្ជាក់ពីរបៀបដែលវត្ថុបុរាណកម្មវិធីត្រូវបានបង្កើតឡើង។ វាពិពណ៌នាអំពីដំណើរការបង្កើត ប្រភព ភាពអាស្រ័យ និងបរិស្ថានដែលបានបង្កើតប្រព័ន្ធគោលពីរ។ ដោយសារតែការបញ្ជាក់ធ្វើតាមគ្រោងការណ៍ថេរ ឧបករណ៍អាចផ្ទៀងផ្ទាត់ពួកវាដោយស្វ័យប្រវត្តិ។
សម្រាប់អ្នកអភិវឌ្ឍន៍ នេះមានន័យថា អ្នកអាចផ្ទៀងផ្ទាត់ថា ការបង្កើតមួយបានមកពីការរំពឹងទុក pipeline ហើយមិនត្រូវបានកែប្រែដោយប្រព័ន្ធដែលមិនគួរឱ្យទុកចិត្តនោះទេ។ លើសពីនេះ ការបញ្ជាក់ជួយរកឃើញការក្លែងបន្លំតាំងពីដំបូង ពីព្រោះការផ្លាស់ប្តូរគួរឱ្យសង្ស័យលេចឡើងដោយផ្ទាល់នៅក្នុងប្រភពដើម។
៥. របៀបដែល Xygeni ជួយអ្នកឱ្យសម្រេចបាននូវតម្រូវការ SLSA v1.2
Xygeni ផ្តល់ជូន បានបញ្ចប់ build security ស្រទាប់ ដែលស្របគ្នាយ៉ាងជិតស្និទ្ធជាមួយ ក្របខ័ណ្ឌ slsaជំនួសឲ្យការពឹងផ្អែកលើការពិនិត្យដោយដៃ អ្នកទទួលបានការត្រួតពិនិត្យជាបន្តបន្ទាប់លើកូដ ការពឹងផ្អែក និង CI pipelines.
ការផ្ទៀងផ្ទាត់ប្រភពដើម និងការបញ្ជាក់
Xygeni ផ្ទៀងផ្ទាត់ឯកសារប្រភព, ផ្ទៀងផ្ទាត់ ការបញ្ជាក់ slsa ខ្លឹមសារ និងការត្រួតពិនិត្យដែលបង្កើតទិន្នន័យមេតាត្រូវគ្នានឹងប្រភពដែលរំពឹងទុក។
ការត្រួតពិនិត្យស្គ្រីបបង្កើត
Xygeni ត្រួតពិនិត្យការបង្កើតស្គ្រីបដើម្បីរកឃើញការផ្លាស់ប្តូរដែលគ្មានការអនុញ្ញាត ពាក្យបញ្ជាមិនមានសុវត្ថិភាព ឬឥរិយាបថគួរឱ្យសង្ស័យនៅខាងក្នុង pipelines.
ការផ្ទៀងផ្ទាត់ភាពអាស្រ័យ
Xygeni ពិនិត្យមើលភាពសុចរិត ប្រវត្តិកំណែ និងកម្រិតជឿទុកចិត្តនៃការពឹងផ្អែក ដើម្បីកាត់បន្ថយហានិភ័យនៃកញ្ចប់ដែលរងការសម្របសម្រួល។
ភាពសុចរិតនៃវត្ថុបុរាណ
Xygeni ស្កេនវត្ថុបុរាណសម្រាប់ការក្លែងបន្លំ ហើយធានាថាពួកវាត្រូវគ្នានឹងលទ្ធផលសាងសង់ដែលរំពឹងទុក។
Pipeline Security
Xygeni បញ្ជាក់ថា CI និង CD pipelines អនុវត្តតាមគំរូសាងសង់ដែលស៊ីសង្វាក់គ្នា និងមានសុវត្ថិភាព។
SBOM និងការធ្វើផែនទីខ្សែសង្វាក់ផ្គត់ផ្គង់
Xygeni បង្កើត និងវិភាគ SBOMs ដែលជួយក្រុមឱ្យពេញចិត្ត SLSA provenance និងតម្រូវការសវនកម្មខាងក្រោម។
ជាលទ្ធផល ក្រុមនានាអាចសម្រេចបាននូវការរំពឹងទុករបស់ SLSA v1.2 ដោយមិនចាំបាច់បន្ថយល្បឿននៃការអភិវឌ្ឍន៍ និងដោយមិនចាំបាច់ភ្ជាប់ឧបករណ៍ច្រើនចូលគ្នាឡើយ។
៦. គំនិតចុងក្រោយអំពីការអាប់ដេត SLSA v1.2
កម្រិតខ្សែសង្វាក់ផ្គត់ផ្គង់សម្រាប់វត្ថុបុរាណកម្មវិធី v1.2 នាំមកនូវភាពច្បាស់លាស់ និងការធានាកាន់តែរឹងមាំដល់ខ្សែសង្វាក់ផ្គត់ផ្គង់កម្មវិធី។ លើសពីនេះ អ្នកអភិវឌ្ឍន៍ឥឡូវនេះមានវិធីសាមញ្ញជាងក្នុងការយល់ដឹងពីប្រភពដើម ផ្ទៀងផ្ទាត់ភាពសុចរិតនៃការបង្កើត និងអនុវត្តការគ្រប់គ្រងដែលស៊ីសង្វាក់គ្នានៅទូទាំង... pipelineស. លក្ខណៈបច្ចេកទេសក៏កាន់តែងាយស្រួលក្នុងការអនុម័តផងដែរ ហើយ ការបញ្ជាក់ slsa ដើរតួនាទីយ៉ាងសំខាន់ក្នុងការបញ្ជាក់ពីរបៀបដែលកម្មវិធីត្រូវបានបង្កើតឡើង។ ដោយសារតែបញ្ហានេះ ក្រុមនានាអាចបង្កើតទំនុកចិត្តកាន់តែខ្លាំងលើវត្ថុបុរាណដែលពួកគេដឹកជញ្ជូន។
ជាមួយ Xygeni អ្នកអាចអនុវត្ត ក្របខ័ណ្ឌ slsa នៅខាងក្នុងដែលមានស្រាប់របស់អ្នក SDLCលើសពីនេះ អ្នកអាចផ្ទៀងផ្ទាត់ប្រភពដើមដោយស្វ័យប្រវត្តិ ពិនិត្យមើលភាពអាស្រ័យជាបន្តបន្ទាប់ និងការពារការសាងសង់របស់អ្នកពីការសម្របសម្រួល។ ជាលទ្ធផល អ្នកពង្រឹងខ្សែសង្វាក់ផ្គត់ផ្គង់របស់អ្នកដោយមិនធ្វើឱ្យការអភិវឌ្ឍន៍ថយចុះ។
???? ចាប់ផ្តើមការសាកល្បងឥតគិតថ្លៃរបស់អ្នក។ or កក់ការបង្ហាញ និងធានាសុវត្ថិភាពសំណង់របស់អ្នកជាមួយ SLSA v1.2
