Razumevanje, zakaj preverjanja GPG med gradnjo ne uspejo
Ko boš CI/CD pipeline odmori s napaka: preverjanje gpg ni uspelo, to ni le moteča zgradba; to je znak, da integriteti artefaktov ni mogoče zaupati. Pogosti razlogi vključujejo:
- Potečeni ali preklicani ključi GPG
- Manjka zaupanje v uvožene ključe
- Nepodpisani ali spremenjeni artefakti
- Napačno konfigurirani obeski ključev v efemernih okoljih za gradnjo
Primeri napak, s katerimi se razvijalci pogosto srečujejo:
Ta sporočila o napakah GPG se prikažejo med namestitvijo paketov, gradnjo Dockerja ali CI/CD reševanje odvisnosti. Namesto da bi jih zaobšli, jih morajo razvijalci obravnavati kot opozorilne znake v dobavni verigi.
Varnostna tveganja ignoriranja napak GPG v Pipelines
Skušnjava je, da bi preskočili preverjanje podpisa, ko napaka: preverjanje gpg ni uspelo blokira izdajo. Če pa ignorirate sporočila o napakah GPG, v vaše gradnje vstopijo nepodpisani ali zlonamerni artefakti.
Zakaj je to pomembno za dobavno verigo:
- Nepodpisane odvisnostiNapadalci lahko v javne repozitorije vstavijo okužene različice s trojanci.
- Nedovoljeno odkrite embalažeNapad »človek vmes« vbrizga spremenjene binarne datoteke, medtem ko vaše pipeline z veseljem ignorira GPG.
- Povrnitve in odnašanjeBrez podpisanega preverjanja razvijalci ne morejo zagotoviti, da se artefakt v produkciji ujema s preizkušenim.
Ignoriranje teh napak je enakovredno onemogočanju TLS-a, ker je »preveč hrupen«. V terminologiji DevSecOps je vsaka napaka GPG obrambni mehanizem dobavne verige.
Diagnosticiranje in odpravljanje težav s ključem in podpisom GPG
Večina napak: gpg ni uspel podpisati podatkov ali pa napake pri preverjanju izvirajo iz osnovnega upravljanja ključev. Oglejte si pogoste rešitve.
Preverite obstoječe ključe
- Potrdi, kateri javni ključi so uvoženi v vaše okolje gradnje.
Uvozi manjkajoče ključe
- Pridobi zahtevani vzdrževalni ključ s strežnika ključev.
Osveži zastarele ključe
Zagotovite raven zaupanja
Ključi morajo biti označeni kot zaupanja vredni za pipeline da jih pravilno preverijo.
V minljivem CI/CD V različnih okoljih se sporočila o napakah GPG pogosto pojavijo, ker ključi niso bili shranjeni med opravili. Vedno definirajte ponovljiv korak uvoza ključev v svojem pipeline.
Uveljavljanje varnega preverjanja podpisov v vseh gradnjah in odvisnostih
Ročno odpravljanje napak GPG ni dovolj. Da preprečite vdor nepodpisanih artefaktov, uveljavite samodejno preverjanje podpisov v vseh upravljalnikih odvisnosti.
Primeri v običajnih ekosistemih
Maven: mvn preveri -P gpg
- npm: Uveljavi namestitev podpisanega paketa z nastavitvami na ravni registra.
- pip: Prednost imajo kolesa, podpisana s PGP, in preverjanje z zaupanja vrednimi ključi.
Mini kontrolni seznam za razvijalce za uveljavljanje GPG
- Neuspešno gradi na katerem koli napaka: preverjanje gpg ni uspelo
- Uveljavite LDAPS:// ali dostop do strežnika ključev HTTPS, nikoli ne v navadnem besedilu
- Zaupanja vredne ključe shranite v zavarovane trezorje, ne v repozitorij
- Redno menjajte in osvežujte ključe GPG
- Za napredovanja med uprizoritvijo in produkcijo so potrebni podpisani artefakti
Avtomatizacija uveljavljanja GPG zagotavlja, da razvijalci ne delajo ad-hoc izjem, ki bi ogrozile dobavno verigo.
Krepitev integritete artefaktov s praksami DevSecOps
Validacija GPG bi morala biti del širše strategije za celovitost artefaktov. Podpisi potrjujejo identiteto založnika, vendar jih je treba kombinirati z:
- Kontrolne vsote za preverjanje binarne integritete.
- SBOMs (Seznam materialov za programsko opremo) za preslikavo odvisnosti.
- Statična analiza za odkrivanje nevarnih vzorcev v paketih.
Orodja, kot so Ksigeni dopolnitev validacije GPG s skeniranjem pipelineza nepodpisane artefakte, odkrivanje spremenjenih odvisnosti in uveljavljanje doslednih preverjanj podpisov. To zmanjšuje verjetnost, da se ena sama napaka GPG zaobide in spremeni v celoten incident v dobavni verigi.
Tabela hitrega odpravljanja težav: Odpravljanje pogostih napak GPG v gradnjah
| Obvestilo o napaki | Glavni vzrok | Varna rešitev |
|---|---|---|
| napaka: preverjanje gpg ni uspelo | Manjkajoči javni ključ, nepodpisani artefakt ali težava z zaupanjem | Uvozite pravilen javni ključ z gpg --recv-keys <KEY_ID> in zagotovite, da je artefakt podpisan. |
| napaka: gpg ni uspel podpisati podatkov | GPG ni pravilno konfiguriran v CI/CD okolje (ni privzetega ključa ali gesla, ki bi manjkal) | Konfiguracija gpg --list-secret-keys in nastavite pravilen ključ za podpisovanje; zagotovite, da je geslo varno na voljo (agent, trezor). |
| gpg: prejemanje strežnika ključev ni uspelo: strežnik ključev ni na voljo | Težava z omrežjem ali blokiran ključni strežnik v okolju gradnje | Uporabite zanesljiv strežnik ključev (hkps://keys.openpgp.org) ali zrcalite v svoji infrastrukturi. |
| gpg: SLAB podpis od "Vzdrževalec" " | Artefakt je bil spremenjen ali pa je bil uvožen napačen ključ. | Takoj ustavite gradnjo; preverite pravilen ključni prstni odtis; zavrnite artefakt. |
| gpg: ni bilo najdenih veljavnih podatkov OpenPGP | Preneseni ključ je poškodovan ali neveljaven | Ponovno pridobi z uporabo gpg --recv-keys z zaupanja vrednim strežnikom ključev in ročno preverite prstni odtis. |
| Gradnja se nadaljuje kljub nepodpisanim paketom | Pipeline ignorira preverjanje ali pa se konfiguracija zaobide | Uveljavi preverjanje podpisa v Mavenu (mvn verify -P gpg), paketi, podpisani z npm, ali pip s preverjanji PGP. |
Napaka: Preverjanje GPG ni uspelo: Varne gradnje se začnejo z zaupanjem
Neuspešno preverjanje GPG ni nikoli le šum. Vsak napaka: preverjanje gpg ni uspelo, napaka: gpg ni uspel podpisati podatkovali generična napaka gpg predstavlja prekinitev v vaši verigi zaupanja. Če jo prezrete, napadalcem dajete odprto pot za vbrizgavanje zlonamernih artefaktov v vaš CI/CD pipelines.
Ključni prevzemi:
- Vedno preglejte sporočila o napakah GPG; gre za varnostne signale
- Uporabite ponovljive prakse upravljanja ključev v gradnjah
- Uveljavi preverjanje podpisa v vseh upraviteljih odvisnosti
- Združite GPG s kontrolnimi vsotami, SBOMin pregledi ranljivosti
- Izkoristite orodja, kot je Xygeni, za avtomatizacijo preverjanj in uveljavljanje pravilnikov podpisovanja v realnem času
In DevSecOps, zaupanje je vsiljeno, ne predpostavljeno. Vsakič, ko vidite napaka: preverjanje gpg ni uspelo, obravnavajte to kot priložnost, da utrdite svoje pipeline, ne ovira, ki bi jo bilo treba preskočiti.
