Bağımlılık ve Yapıt İmzalama

Bir SBOM, bir yapıtın içinde ne olduğunu gösterir. Köken bilgisi ise nereden geldiğini ve nasıl derlendiğini gösterir. İmzalama, bir yapıtı doğrulanabilir bir kaynağa bağlar; böylece tüketiciler, güvenilir işlem hattınız tarafından üretilmemiş her şeyi reddedebilir.

Köken bilgisi olmadan, kayıt deponuzdaki bir tar arşivini değiştiren saldırganı meşru bir sürümden ayırt etmek mümkün değildir.

Bütünlüğün temeli, içeriğe dayalı adreslemedir. Bir yapıtın kriptografik karması (özeti), o yapıtın tam olarak aynı baytlarını benzersiz biçimde tanımlar. latest gibi değiştirilebilir etiketler başka bir içeriği gösterecek şekilde yeniden yönlendirilebilir; özet ise yönlendirilemez.

Dijital imza, yapıtın karmasını imzalamak için özel bir anahtar kullanır; eşleşen ortak anahtara sahip herkes imzayı doğrulayabilir. Bu, iki güvence sağlar:

• Bütünlük — yapıt imzalandıktan sonra değiştirilmemiştir
• Özgünlük — özel anahtarın sahibi tarafından imzalanmıştır

Zor kısım matematik değil, anahtar yönetimi ve güvenin dağıtımıdır: Doğrulayan kişi hangi ortak anahtara güveneceğini nasıl bilebilir?

Geleneksel imzalama, ekipleri sızdırılabilen uzun ömürlü özel anahtarları korumaya zorlar. Sigstore ise anahtarsız imzalama sunar: Bir OIDC kimliğine (sürekli tümleştirme iş yükü veya geliştirici e-posta adresi gibi) bağlı kısa ömürlü bir sertifika verir, imzalama işlemini gerçekleştirir ve bu olayı Rekor adlı herkese açık bir şeffaflık günlüğüne kaydeder.

Çalınabilecek uzun ömürlü bir anahtar yoktur ve her imza herkes tarafından denetlenebilir.

Cosign, konteyner görüntülerini ve diğer yapıtları imzalamaya yarayan Sigstore aracıdır. Anahtarsız kipte işlem hattının OIDC belirtecini kullanır; bu nedenle diskte hiçbir anahtar dosyası bulunmaz.

Sigstore, her imzalama olayını Rekor adlı, kurcalandığı anlaşılabilen ve yalnızca eklemeye açık herkese açık bir günlüğe kaydeder. Bu, güçlü bir tespit denetimidir:

• Bir şeyin ne zaman imzalandığını kanıtlayabilirsiniz
• Bir kimliği çalan saldırgan gizlice imza atamaz — olay herkese açık biçimde kaydedilir
• Anormal imzalar (beklenmeyen kimlik, çalışma saatleri dışındaki zamanlar) tespit edilebilir hâle gelir

Şeffaflık, sessiz bir ihlali gözlemlenebilir kanıta dönüştürür.

SLSA (Yazılım Yapıtları için Tedarik Zinciri Düzeyleri), derleme sürecinizin ne kadar güvenilir olduğunu derecelendiren bir çerçevedir. Daha yüksek düzeyler, kurcalamaya karşı daha güçlü güvenceler gerektirir.

• L1 — köken bilgisi mevcuttur ve belgelenmiştir
• L2 — barındırılan bir derleme hizmetinden alınan imzalı köken bilgisi
• L3 — sağlamlaştırılmış, yalıtılmış derlemeler; köken bilgisi, işlem hattının içindeki biri tarafından bile sahte üretilemez

SLSA bir yol haritasıdır: bir hedef düzey seçin ve açıkları kapatın.

Köken beyanı, bir yapıtın nasıl derlendiğini açıklayan imzalı bir ifadedir: kaynak değişiklik kaydı, derleme hizmeti kimliği, derleme parametreleri ve girdiler. in-toto biçimi bunu standartlaştırır.

İmzalama, bir şey imzasız yapıtları reddetmiyorsa işe yaramaz. Kubernetes'te bir kabul denetleyicisi, güvenilir kimliğinizden alınmış geçerli bir imza ve köken bilgisi bulunmayan her görüntüyü engelleyebilir.

• İlke denetleyicileri, bir pod başlatılmadan önce cosign imzalarını doğrular
• Beklenmeyen kimlikler tarafından imzalanan görüntüleri reddeder
• Onaylanmış kaynak deponuza işaret eden köken bilgisi ister

Bu, döngüyü tamamlar: güvenilmeyen yapıtlar hiçbir zaman çalıştırılmaz.

Köken bilgisi, yalnızca sunduğunuz şeylere değil, tükettiğiniz şeylere de uzandığında en değerli hâline gelir. Ekosistemler yerleşik imzalama ve köken bilgisi desteği ekliyor:

• npm köken bilgisi, yayımlanan bir paketi kaynak değişiklik kaydına ve sürekli tümleştirme çalıştırmasına bağlar
• Konteyner temel görüntüleri giderek daha fazla cosign imzasıyla sunuluyor
• Programlama dili kayıt depoları, Sigstore destekli doğrulamayı deniyor

Doğrulanabilir köken bilgisi yayımlayan bağımlılıkları tercih edin ve desteklendiği yerlerde kurulum sırasında bunu doğrulayın.

Uygulanabilir bir imzalama stratejisi katmanlıdır ve uçtan uca doğrulanır:

• Girdileri özetle sabitleyin
• Yapıtları anahtarsız imzalayın ve SBOM ile köken beyanlarını ekleyin
• Her şeyi bir şeffaflık günlüğüne kaydedin
• Dağıtım sırasında bir kabul ilkesiyle doğrulamayı zorunlu kılın

Zincir, doğrulanmamış en zayıf halkası kadar güçlüdür; bu nedenle her tüketim noktasında doğrulama yapın.

Anahtarsız imzalamanın yazılım tedarik zinciri güvenliğini neden iyileştirdiğini değerlendirin.

Kökeni kanıtlamayı ve bunu zorunlu kılmayı öğrendiniz.

• Değiştirilebilir etiketler yerine özetle sabitleyin
• Dijital imzalar bütünlük ve özgünlük sağlar; zorluk anahtar yönetimidir
• Sigstore + cosign, herkese açık bir Rekor şeffaflık günlüğüyle anahtarsız imzalamayı mümkün kılar
• SLSA derleme bütünlüğünü derecelendirir; köken beyanları yapıtların nasıl derlendiğini kaydeder
• Kabul ilkeleri, dağıtım sırasında imzasız veya güvenilmeyen her şeyi reddeder

Sırada: Bu yapıtları üreten sürekli tümleştirme/sürekli teslim işlem hattını sağlamlaştırmak.