Fanamafisana ny fiarovana ny rindrambaiko amin'ny vanim-potoanan'ny fanafihana amin'ny rojo famatsiana #
Ny fiakaran'ny fanafihana amin'ny rojo famatsiana rindrambaiko dia nanao fiarovana CI/CD pipelines sy zavatra vita amin'ny rindrambaiko manan-danja kokoa noho ny hatramin’izay. Inona no atao hoe SLSA? The Ambaratongan'ny rojo famatsiana ho an'ny vokatra rindrambaiko Framework manome a fomba fiasa voarafitra amin'ny fiarovana rindrambaiko, manome antoka tsy fivadihan'ny zavatra artifisialy mandritra ny tsingerim-piainan'ny fampandrosoana. Ny lafiny iray manan-danja amin'ity rafitra ity dia SLSA Provenance, izay manamarina aiza, rahoviana, ary ahoana natsangana ny rindrambaiko, izay nisoroka ny fanodinkodinana sy ny fanovana tsy nahazoana alalana. Amin'ny alàlan'ny fanarahana ny fomba fanao momba ny fiarovana ny Ambaratongan'ny rojo famatsiana ho an'ny Artifacts rindrambaiko, dia afaka manamafy ny rojo famatsiana rindrambaiko ary manangana matoky ny fizotran'ny fampandrosoana azy ireo..
famaritana:
Inona no atao hoe SLSA? #
Ny Supply-chain Levels for Software Artifacts (SLSA) dia rafitra fiarovana natao hiarovana ny rojo famatsiana rindrambaiko amin'ny fandrahonana. Izy io dia miantoka ny fananganana sy fizarana rindrambaiko azo antoka, mitarika ireo fikambanana manomboka amin'ny automatique fototra ka hatramin'ny dingana azo arahina tanteraka sy tsy azo ovaina.
Inona ny SLSA Provenance? #
SLSA Provenance dia firaketana amin'ny antsipiriany momba ny toerana, ny fotoana ary ny fomba nanamboarana ny rindrambaiko. Izy io dia miantoka ny fahamarinan'ny artifact, manome fahitana feno momba ny singa sy ny fiankinan-doha amin'ny rindrambaiko. Miaraka amin'ny SLSA Provenance, afaka misoroka ny fanodinkodinana ireo fikambanana, manamarina ny fitokisana, ary mitazona fifehezana tanteraka amin'ny rojo famatsiana rindrambaiko.
Ny niavian'ny SLSA Provenance #
Ny rafitra Supply-chain Levels for Software Artifacts dia novolavolaina mba hiatrehana ny fitomboan'ny fandrahonana amin'ny rojo famatsiana rindrambaiko. Fanafihana toy ny SolarWinds sy CodeCov nampiharihary ny fahalemena amin'ny fomba fanamboarana, fanamarinana ary fizarana rindrambaiko. Vokatr'izany, Namorona ny SLSA ny Google, maka tahaka ny fomba fanao momba ny fiarovana anatiny, mba hanampiana ireo fikambanana hiaro ny CI/CD pipelines sy ireo zavatra vokarin'ny rindrambaiko.
Amin'izao fotoana izao, ny haavon'ny rojo famatsiana ho an'ny artifact rindrambaiko dia fehezin'ny OpenSSF (Open Source Security Fototra) eo ambany Linux FoundationManome fomba fiasa mazava sy tsikelikely izy io mba hanatsarana ny fahamarinan'ny rindrambaiko, ny fiarovana ny artifact, ary ny fanaraha-maso ny fiaviany. Tsy toy ny rafitra fiarovana amin'ny aterineto ankapobeny toy ny NIST na CIS Fanaraha-maso, ny SLSA dia mifantoka manokana amin'ny fiarovana ny fampivoarana rindrambaiko, mba hahazoana antoka fa tsy azo ovaina sy azo hamarinina ny fanamboarana.
Amin'ny fampiasana SLSA Provenance, afaka manara-maso ny singa rehetra amin'ny tsingerin'ny rindrambaikony ireo fikambanana. Izany dia miantoka ny mangarahara, ny fiarovana ary ny fanarahan-dalàna, mampihena ny mety hisian'ny fanovana tsy nahazoana alalana sy ny fahasimban'ny rojo famatsiana.
Ireo Hevitra fototra momba ny Ambaratongan'ny Rojo Famatsiana ho an'ny Artifacts Rindrambaiko #
Fanazavana ny haavon'ny SLSA #
| Ambaratongan'ny SLSA | Inona no azo antoka | Tombontsoa ho an'ny fiarovana |
|---|---|---|
| Level 1 | Fananganana mandeha ho azy | Mampihena ny fahadisoan'olombelona sy ny fanodinkodinana tsy nahy |
| Level 2 | Fanamarinana loharano + fanaraha-maso matanjaka kokoa | Miantoka ny fahamarinan'ny kaody sy ny fananganana azo itokisana |
| Level 3 | SLSA Provenance ilaina | Manome firaketana amin'ny antsipiriany momba ny fomba sy ny toerana nanamboarana ireo zavatra tranainy |
| Level 4 | Trano azo averina averina miaraka amin'ny fiaviana feno | Miantoka ny tsy hisian'ny fahasimbana sy ny fiarovana ambony indrindra amin'ny rojo famatsiana |
Ahoana no mampitaha ny haavon'ny rojo famatsiana ho an'ny rindrambaiko amin'ny rafitra fiarovana hafa? #
SLSA vs. Rafitra fiarovana an-tserasera NIST: #
FocusManolotra torolàlana midadasika ho an'ny fiarovana an-tserasera amin'ny ankapobeny ny NIST saingy tsy dia mifantoka loatra amin'ny fiarovana ny rojo famatsiana rindrambaiko.
tombonyNy Ambaratongan'ny Rojo Famatsiana ho an'ny Rindrambaiko dia mifantoka kokoa amin'ny fiarovana ny fahamarinan'ny rindrambaiko ary manolotra dingana mazava ho an'ny fiarovana ny artifacts rindrambaiko miaraka amin'ny SLSA Provenance, mameno ny fomba fiasa mivelatra kokoa an'ny NIST.
Ambaratongan'ny rojo SLSA vs. Modely Fahamatorana amin'ny Fanomezan-toky ny Rindrambaiko OWASP (SAMM): #
FocusManampy amin'ny famoronana paikady fiarovana ho an'ny tetikasa rindrambaiko ny OWASP SAMM.
tombonyNy Ambaratongan'ny Rojo Famatsiana ho an'ny Rindrambaiko dia miditra lalindalina kokoa amin'ny fiarovana ny rojo famatsiana. Mifantoka amin'ny fiaviana sy ny fahafaha-mamerina izany, raha ny SAMM kosa dia miresaka momba ny fiarovana ankapobeny. SLSA Provenance miantoka ny fiarovana sy ny maha-azo itokiana ny rakitra rindrankajy.
Ambaratongan'ny rojo famatsiana vs. CIS fanaraha-maso: #
Focus: CIS Ny fanaraha-maso dia manome torolàlana ho an'ny fiarovana ny rafitra IT saingy tsy mifantoka amin'ny fampivoarana rindrambaiko na zavatra simba.
tombonyNy Ambaratongan'ny Rojo Famatsiana ho an'ny Rindrambaiko dia manome dingana mazava ho an'ny fiarovana ny fananganana rindrambaiko, amin'ny fampiasana Ambaratongan'ny rojo famatsiana ho an'ny vokatra rindrambaiko Rafitra hanamarinana fa azo antoka sy tsy misy fanovana ny fananganana tsirairay.
Nahoana no misafidy ny ambaratongan'ny rojo famatsiana ho an'ny rindrambaiko mihoatra noho ny hafa? #
Maro ireo rafitra fiarovana, saingy miavaka ny Ambaratongan'ny rojo famatsiana ho an'ny rindrambaiko amin'ny fifantohana amin'ny rojo famatsiana rindrambaiko. Manolotra dingana mora arahina izy io mba hanatsarana ny fahamarinan'ny rindrambaiko sy ny fiaviany, ka mahatonga azy io ho safidy tsara miaraka amin'ireo rafitra fiarovana mivelatra kokoa.
- Fifantohana amin'ny rojo famatsianaNy Ambaratongan'ny Rojo Famatsiana ho an'ny Rindrambaiko dia natao manokana mba hiarovana ny rojo famatsiana rindrambaiko, manome torolàlana mazava momba ny fahamarinan'ny artifact sy SLSA Provenance.
- Ambaratongan'ny FiantohanaNy ambaratonga misy ambaratonga dia ahafahan'ny fikambanana manatsara ny fiarovana tsikelikely, manolotra lalana mazava ho an'ny fanatsarana mitohy.
- Fahamarinan'ny zavatra artifactManantitrantitra ny fahafahana mamerina sy ny fiaviana ity rafitra ity, izay miantoka ny fiarovana ny rindrambaiko amin'ny fomba tsy vitan'ny rafitra hafa.
- Fandraisana an-tanana fenoAmin'ny alàlan'ny fiarovana ny rindrambaiko manomboka amin'ny kaody ka hatramin'ny artifact, ny Supply-chain Levels for Software dia manome fiarovana feno amin'ny rojo famatsiana, miantoka ny fananganana tsy azo ovaina miaraka amin'ny SLSA Provenance.
- mifamenoMiasa tsara amin'ny rafitra toy ny NIST na ny Supply-chain Levels ho an'ny rindrambaiko CIS Fanaraha-maso, fanamafisana ny fiarovana amin'ny ankapobeny amin'ny alàlan'ny famahana ireo fahalemena ao amin'ny rojo famatsiana rindrambaiko.
Fiarovana ny Hoavy miaraka amin'ny SLSA ho an'ny Rindrambaiko sy Xygeni #
Ankehitriny rehefa fantatrao ny atao hoe slsa, andao hiresaka momba izany isika XygeniManampy ireo fikambanana hampihatra sy hitazona ny fanarahana ny Ambaratongan'ny Rojo Famatsiana ho an'ny Rindrambaiko amin'ny ambaratonga rehetra ny Xygeni. Mifanaraka amin'ny fenitra hentitra omeny ny sehatray. standards, manamora ny fampidirana fiarovana manerana ny tsingerin'ny rindrambaiko. Manomboka amin'ny fanaovana automatique ny fanamboarana ka hatramin'ny fampiharana ny tsy fanovana SLSA Provenance mifehy, manamafy ny fiarovana ny rindrambaiko ny Xygeni ary manatsotra ny fanarahana ny lalàna.
Amin'ny alalan'ny SLSA Provenance, Xygeni dia miantoka fa azo hamarinina ny niandohan'ny rindrambaiko tsirairay sy ny fizotran'ny fanamboarana azy. Izany dia misoroka ny fanovana na ny fanodinkodinana tsy nahazoana alalana ary manome fahitana feno momba ny rojo famatsiana rindrambaiko anao. Vokatr'izany, ny fikambananao dia lasa mahatohitra kokoa ny fandrahonana mivoatra. Amin'ny fiaraha-miasa amin'ny Xygeni, azonao atao ny mitantana amim-pahatokiana ny ambaratongan'ny Ambaratongan'ny rojo famatsiana ho an'ny rindrambaiko, miantoka ny hoavy izay azo antoka ny rojo famatsiana rindrambaiko anao. Miaro ny fanamboarana ny Xygeni, miantoka ny fahamarinan'ny artifact miaraka amin'ny SLSA Provenance, ary manome vahaolana feno ho an'ny fiarovana rindrambaiko maoderina.
FAQ - Fanontaniana Fametraky ny Olona Matetika #
Ny SLSA (Supply-chain Levels for Software Artifacts) dia rafitra iray izay manatsara ny software supply chain security amin'ny fisorohana ny fanodinkodinana sy ny fiantohana ny fahamarinan'ny zavatra artifact amin'ny alàlan'ny SLSA Provenance. Tena ilaina ho an'ny CI/CD pipelines satria mametraka fototra fiarovana mandritra ny dingana fananganana sy fizarana rindrambaiko.
Ny SLSA dia iray amin'ireo tsara indrindra standards ho an'ny fiarovana CI/CD pipelines. Manolotra torolàlana feno izy io mba hiarovana ny dingana tsirairay amin'ny pipeline—manomboka amin'ny fitantanana ny kaody loharano ka hatramin'ny fanaterana zavatra simba—amin'ny alàlan'ny fisorohana ny fanodinkodinana sy ny fidirana tsy nahazoana alalana. SLSA Provenance manamarina sy miantoka ny fahamarinan'ny zavatra artifact mandritra ny dingana.
Google no namorona ny rafitra SLSA voalohany, ary ny OpenSSF (Open Source Security Foundation) no mitantana azy ankehitriny. Ity fikambanana ity dia mampiroborobo ny fomba fanao tsara indrindra amin'ny fiarovana ny rojo famatsiana rindrambaiko ary manatsara hatrany ny rafitra mba hamenoana ny filàna fiarovana vaovao.
Tsy feno ny fahatakarana ny atao hoe SLSA raha tsy mahafantatra ireo olana vahana atrehany. Mora iharan'ny fanodinkodinana, fanafihana fiankinan-doha, ary dingana fananganana tsy azo antoka ny rojo famatsiana rindrambaiko. SLSA Provenance mamaha ireo olana ireo amin'ny alàlan'ny fiantohana fa azo arahina, hamarinina ary tsy azo ovaina ny rindrambaiko rehetra. Mitondra mangarahara sy fitokisana izany CI/CD pipelines, izay mahatonga ny fiarovana ho toy ny zavatra tsy maintsy atao, fa tsy hoeritreretina fotsiny.
