Sísúnmọ́ Ààbò Sọ́fítíwètì ní Àkókò Àwọn Ìkọlù Pẹ́ẹ̀tì Ipèsè #
Awọn jinde ni software ipese pq ku ti ṣe aabo CI/CD pipelines ati àwọn ohun èlò ìṣiṣẹ́ sọ́fítíwè pataki ju lailai. Kí ni SLSA? awọn Awọn Ipele Ipese fun Awọn Ohun-elo Sọfitiwia ilana pese a ọna ti a ṣeto si aabo sọfitiwia, idaniloju ìwà títọ́ ohun èlò jakejado gbogbo igbesi aye idagbasoke. Apá pataki ti eto yii ni SLSA Provenance, èyí tí ó jẹ́rìí sí ibi, nigbawo, ati bawo A ṣe àgbékalẹ̀ sọ́fítíwètì, èyí tí ó ń dènà ìfọ́mọ́ra àti àwọn àtúnṣe tí a kò fún ní àṣẹ. Nípa lílo Àwọn Ìpele Ẹ̀wọ̀n Ipese fún Àwọn Ìlànà Ààbò sọ́fítíwètì, àwọn àjọ lè mu ẹ̀wọ̀n ìpèsè sọ́fítíwè wọn lágbára sí i ki o si kọ igbẹkẹle ninu ilana idagbasoke wọn..
Awọn asọye:
Kí ni SLSA? #
Àwọn Ìpele Ìpèsè fún Àwọn Ohun Èlò Softwaya (SLSA) jẹ́ ètò ààbò tí a ṣe láti dáàbò bo àwọn ẹ̀wọ̀n ìpèsè softwaya kúrò lọ́wọ́ àwọn ewu. Ó ń rí i dájú pé àwọn ìkọ́lé àti pínpín softwaya tó ní ààbò wà, ó ń darí àwọn àjọ láti iṣẹ́ àdánidá ìpìlẹ̀ sí àwọn iṣẹ́ tí a lè tọ́pasẹ̀ pátápátá àti èyí tí a kò lè dẹ́kun.
ohun ti o jẹ SLSA Provenance? #
SLSA Provenance jẹ́ àkọsílẹ̀ kíkún nípa ibi tí a ti kọ́ sọ́fítíwè, ìgbà tí a ti kọ́ ọ, àti bí a ṣe ṣe é. Ó ń rí i dájú pé ohun èlò náà jẹ́ òótọ́, ó sì ń fúnni ní ìrísí pípé nípa àwọn ẹ̀yà sọ́fítíwè àti àwọn ohun tí a gbára lé. Pẹ̀lú SLSA Provenance, àwọn àjọ lè dènà ìfọ́mọ́ra, ṣàyẹ̀wò ìgbẹ́kẹ̀lé, kí wọ́n sì máa ṣàkóso gbogbo ẹ̀ka ìpèsè sọ́fítíwẹ́ẹ̀tì wọn.
Awọn Oti ti awọn SLSA Provenance #
A ṣe agbekalẹ ilana Ipele Ipese fun Awọn Ohun-elo Sọfitiwia lati koju awọn irokeke ti n dagba sii ti awọn ikọlu bii SolarWinds àti CodeCov Àwọn àìlera tí a fi hàn nípa bí a ṣe ń kọ́ sọ́fítíwè, ṣe àyẹ̀wò rẹ̀, àti pínpín rẹ̀. Nítorí náà, Google ló dá SLSA sílẹ̀láti inú àwọn ìlànà ààbò inú rẹ̀, láti ran àwọn àjọ lọ́wọ́ láti dáàbòbò CI/CD pipelineàwọn ohun èlò ìṣẹ̀dá àti àwọn ohun èlò ìṣiṣẹ́ kọ̀mpútà.
Lónìí, Àwọn Ìpele Ìpèsè fún Àwọn Ohun Àtijọ́ Softwarẹ ni a ń ṣàkóso nípasẹ̀ OpenSSF (Open Source Security Ìpìlẹ̀) labẹ awọn Linux FoundationÓ pèsè ọ̀nà tí ó ṣe kedere, ìgbésẹ̀-lẹ́sẹ̀ láti mú kí ìdúróṣinṣin sọ́fítíwè, ààbò ohun èlò, àti ìtọ́pinpin ìpilẹ̀ṣẹ̀ sunwọ̀n síi. Láìdàbí àwọn ètò ààbò ààbò gbogbogbòò bíi NIST tàbí CIS Àwọn ìṣàkóso, SLSA fojú sí ààbò ìdàgbàsókè sọ́fítíwè ní pàtàkì, ní rírí dájú pé àwọn ìkọ́lé náà kò ní àtúnṣe àti pé a lè fìdí rẹ̀ múlẹ̀.
Nipa lilo SLSA Provenance, àwọn àjọ le tọ́pasẹ̀ gbogbo apá ìgbésí ayé sọ́fítíwè wọn. Èyí ń rí i dájú pé a ṣe àfihàn, ààbò, àti ìtẹ̀lé, èyí tí ó ń dín ewu àwọn àtúnṣe tí a kò gbà láyè àti àwọn ìforígbárí ẹ̀rọ ìpèsè kù.
Àwọn Ìlànà Pàtàkì ti Àwọn Ìpele Ẹ̀wọ̀n Ipese fún Àwọn Ohun Àgbékalẹ̀ Sọfítíwètì #
Àwọn Ìpele SLSA tí a ṣàlàyé #
| Ipele SLSA | Ohun ti O Idaniloju | Awọn anfani aabo |
|---|---|---|
| ipele 1 | Àwọn ìkọ́lé aládàáṣe | Dín àṣìṣe ènìyàn àti ìfọ́mọ́ra láìròtẹ́lẹ̀ kù |
| ipele 2 | Ìjẹ́rìísí orísun + àwọn ìṣàkóso tó lágbára sí i | Ṣe idaniloju iduroṣinṣin koodu ati awọn ikole igbẹkẹle |
| ipele 3 | SLSA Provenance beere | Ó pèsè àkọsílẹ̀ kíkún nípa bí wọ́n ṣe kọ́ àwọn ohun ìṣẹ̀ǹbáyé àti ibi tí wọ́n ti kọ́ wọn. |
| ipele 4 | Àwọn ìkọ́lé tí a lè tún ṣe pẹ̀lú orísun pípé | Ṣe ìdánilójú àwọn ohun èlò tí kò lè ta ko nǹkan àti ààbò pq ipese tó pọ̀ jùlọ |
Báwo ni Àwọn Ìpele Ìpèsè fún Sọfítíwèsì Ṣe Fiwera Pẹ̀lú Àwọn Ìlànà Ààbò Míràn? #
Ètò Ààbò Íńtánẹ́ẹ̀tì SLSA àti NIST: #
idojukọNIST n pese itọsọna gbooro fun aabo awọn eto aabo aabo lori ayelujara gbogbogbo ṣugbọn ko dojukọ pupọ lori aabo awọn ẹwọn ipese sọfitiwia.
anfani: Awọn Ipele Ipese-ẹwọn fun Sọfitiwia fojusi diẹ sii lori aabo iduroṣinṣin sọfitiwia ati pe o funni ni awọn igbesẹ ti o han gbangba fun aabo awọn ohun-ini sọfitiwia pẹlu SLSA Provenance, tí ó ń ṣe àfikún sí ọ̀nà tí NIST gbà gbòòrò sí i.
Awọn Ipele ẹwọn SLSA vs. Idaniloju Sọfitiwia OWASP Awoṣe Idàgbàsókè (SAMM): #
idojukọ: OWASP SAMM n ran lọwọ lati ṣẹda awọn ọgbọn aabo fun awọn iṣẹ akanṣe sọfitiwia.
anfani: Awọn Ipele Ipese-ẹwọn fun Sọfitiwia n tẹ siwaju sii sinu aabo ẹwọn ipese. O dojukọ ipilẹṣẹ ati atunṣe, lakoko ti SAMM bo aabo gbogbogbo. SLSA Provenance ṣe idaniloju aabo ati otitọ ti awọn ohun-ini software.
Awọn Ipele ẹ̀wọ̀n ipese vs. CIS Awọn iṣakoso: #
idojukọ: CIS Àwọn ìṣàkóso fúnni ní ìlànà fún dídáàbòbò àwọn ètò IT ṣùgbọ́n wọn kò dojúkọ ìdàgbàsókè sọ́fítíwè tàbí àwọn ohun ìṣẹ̀dá.
anfani: Awọn Ipele Ipese-ẹwọn fun Sọfitiwia pese awọn igbesẹ ti o han gbangba fun aabo awọn ikole sọfitiwia, ni lilo Awọn Ipele Ipese fun Awọn Ohun-elo Sọfitiwia Ìlànà láti rí i dájú pé gbogbo ìkọ́lé náà ní ààbò àti pé kò ní àtúnṣe.
Kí ló dé tí a fi lè yan àwọn ìpele ìpèsè fún sọ́fítíwètì ju àwọn mìíràn lọ? #
Ọ̀pọ̀lọpọ̀ ètò ààbò ló wà, àmọ́ Ìpele Ìpèsè fún Softwarẹ dúró ṣinṣin nípa títẹ́júmọ́ ẹ̀wọ̀n ìpèsè softwarẹ. Ó ń fúnni ní àwọn ìgbésẹ̀ tó rọrùn láti tẹ̀lé láti mú kí ìdúróṣinṣin softwarẹ àti ìpilẹ̀ṣẹ̀ rẹ̀ sunwọ̀n síi, èyí sì mú kí ó jẹ́ àṣàyàn tó lágbára pẹ̀lú àwọn ètò ààbò tó gbòòrò.
- Ìfojúsùn Pẹ́ẹ̀tì Ipèsè: Awọn Ipele Ipese-ẹwọn fun Sọfitiwia ni a ṣe ni pataki lati daabobo awọn ẹwọn ipese sọfitiwia, pese itọsọna ti o han gbangba lori iduroṣinṣin ohun-elo ati SLSA Provenance.
- Awọn ipele IdanilojuÀwọn ìpele ìpele náà ń jẹ́ kí àwọn àjọ mú ààbò sunwọ̀n síi ní ìgbésẹ̀ kọ̀ọ̀kan, tí ó ń fúnni ní ọ̀nà tí ó ṣe kedere fún ìdàgbàsókè tí ń bá a lọ.
- Ìwà Títọ́ Ohun Ìṣẹ̀dá: Ètò náà tẹnu mọ́ bí a ṣe lè tún un ṣe àti bí a ṣe lè rí i, ó sì ń rí i dájú pé àwọn ètò mìíràn kò ṣe é.
- Okeerẹ AgbegbeNípa dídáàbòbò sọ́fítíwè láti kódì sí ohun ìṣẹ̀dá, Ìpele Ẹ̀wọ̀n Ipèsè fún sọ́fítíwè ń pèsè ààbò ẹ̀wọ̀n ìpèsè ní kíkún, ó sì ń rí i dájú pé àwọn ìkọ́lé tí kò ní ìfàmọ́ra pẹ̀lú SLSA Provenance.
- Atilẹkọ: Awọn Ipele Ipese-ẹwọn fun Sọfitiwia n ṣiṣẹ daradara pẹlu awọn fireemu bii NIST tabi CIS Àwọn ìṣàkóso, mímú ààbò gbogbogbò pọ̀ sí i nípa ṣíṣe àtúnṣe àwọn àìlera pq ìpèsè sọ́fítíwètì.
Ṣíṣe Ààbò fún Ọjọ́ iwájú pẹ̀lú SLSA fún Sọfítíwètì àti Xygeni #
Nisinsinyi ti o ti mọ kini slsa, jẹ ki a sọrọ nipa XygeniXygeni ń ran àwọn àjọ lọ́wọ́ láti ṣe àti láti máa tẹ̀lé àwọn Ìpele Ẹ̀ka Ipese fún Sọfitiwia ní gbogbo ìpele. Ìpele wa bá ìdúróṣinṣin rẹ̀ mu standards, èyí tí ó mú kí ìṣọ̀kan ààbò gbòòrò sí gbogbo ìgbà ayé sọ́fítíwè rẹ rọrùn. Láti ṣíṣe àgbékalẹ̀ aládàáṣe sí fífi agbára mú kí a má ṣe tampering SLSA Provenance àwọn ìṣàkóso, Xygeni ń mú ààbò sọ́fítíwè lágbára sí i, ó sì ń mú kí ìbáramu rọrùn.
nipasẹ SLSA Provenance, Xygeni rí i dájú pé ìpilẹ̀ṣẹ̀ àti ìlànà ìkọ́lé software kọ̀ọ̀kan jẹ́ èyí tí a lè fìdí rẹ̀ múlẹ̀. Èyí ń dènà àwọn àyípadà tàbí ìfọ́mọ́ra tí a kò fún ní àṣẹ, ó sì ń fúnni ní ìrísí pípé sí ẹ̀wọ̀n ìpèsè software rẹ. Nítorí náà, àjọ rẹ ń di alágbára sí àwọn ewu tí ń yípadà. Nípa ṣíṣe àjọṣepọ̀ pẹ̀lú Xygeni, o lè fi ìgboyà rìn ní àwọn ìpele ti Ipese-pq fún Software, ní rírí i dájú pé ọjọ́ iwájú kan wà níbi tí àwọn ẹ̀wọ̀n ìpèsè software rẹ wà ní ààbò. Xygeni ń dáàbò bo àwọn ìkọ́lé, ó sì ń ṣe ìdánilójú ìwà títọ́ ohun èlò pẹ̀lú SLSA Provenance, ó sì pese ojutu pipe fun aabo sọfitiwia ode oni.
Nigbagbogbo bi Ìbéèrè #
SLSA (Awọn Ipele Ipese fun Awọn Ohun-elo Sọfitiwia) jẹ ilana ti o mu ilọsiwaju pọ si software supply chain security nípa dídínà ìfọ́mọ́ra àti rírí i dájú pé ohun èlò náà jẹ́ òótọ́ nípasẹ̀ SLSA Provenance. O ti wa ni lominu ni fun CI/CD pipelinebí ó ṣe ń gbé ìpìlẹ̀ ààbò kalẹ̀ jákèjádò àwọn ìlànà ìkọ́lé àti pínpín sọ́fítíwè.
SLSA dúró gẹ́gẹ́ bí ọ̀kan lára àwọn tó dára jùlọ standards fun aabo CI/CD pipelines. Ó ní àwọn ìlànà tó péye láti dáàbò bo ìgbésẹ̀ kọ̀ọ̀kan ti pipeline—láti ìṣàkóso kódì orísun sí ìfijiṣẹ́ ohun ìṣẹ̀dá—nípa dídínà ìfọ́wọ́sí àti wíwọlé láìgbàṣẹ. SLSA Provenance ń fìdí rẹ̀ múlẹ̀, ó sì ń rí i dájú pé ohun èlò náà jẹ́ òótọ́ ní gbogbo ìlànà náà.
Google kọ́kọ́ ṣe àgbékalẹ̀ ìlànà SLSA, àti OpenSSF (Open Source Security Foundation) ló ń ṣàkóso rẹ̀ báyìí. Àjọ yìí ń gbé àwọn ọ̀nà tó dára jùlọ lárugẹ fún dídáàbòbò àwọn ẹ̀wọ̀n ìpèsè sọ́fítíwètì, ó sì ń mú kí ètò náà máa sunwọ̀n sí i nígbà gbogbo láti bá àwọn àìní ààbò tuntun mu.
Lílóye ohun tí SLSA jẹ́ kò pé láì mọ àwọn ìṣòro tí ó ń yanjú. Àwọn ẹ̀wọ̀n ìpèsè sọ́fítíwè jẹ́ èyí tí ó ṣeé ṣe kí ó jẹ́ ìfọ́mọ́ra, ìkọlù ìgbẹ́kẹ̀lé, àti àwọn ìlànà ìkọ́lé tí kò ní ààbò. SLSA Provenance Ó yanjú àwọn wọ̀nyí nípa rírí dájú pé gbogbo ohun èlò ìṣiṣẹ́ kọ̀ǹpútà ni a lè tọ́pasẹ̀, tí a lè fìdí rẹ̀ múlẹ̀, tí a sì lè dènà ìyípadà. Ó mú kí ìfọkànsìn àti ìgbẹ́kẹ̀lé wá sí CI/CD pipelines, tí ó ń mú kí ààbò jẹ́ àìṣeéyípadà, kì í ṣe èrò ẹ̀yìn.
