The GitHub Blog
·
您的软件（真正）来自哪里？
💡
原文英文，约1500词，阅读约需6分钟。
📝
内容提要
软件是一个神奇而复杂的东西，由源代码构建而成。构件的生命周期缺乏可见性，这是安全挑战的根源。数字签名和签名是确保软件构件可信的重要手段。Sigstore是一个开源项目，提供了X.509 CA和基于RFC 3161的证明服务。
🎯
关键要点
- 软件是由源代码构建而成，具有生命周期，但缺乏可见性。
- 软件构件的生命周期缺乏可见性是安全挑战的根源。
- 数字签名和签名是确保软件构件可信的重要手段。
- Sigstore是一个开源项目，提供X.509 CA和基于RFC 3161的证明服务。
- 通过生成文件的摘要，可以确保文件未被篡改。
- 软件签名是对软件构件的唯一性进行保证的方式。
- 操作系统通过强制要求签名来确保可执行软件的可信来源。
- 证明（attestation）是对软件构件的事实声明，需由可信实体创建。
- 来源证明（provenance attestation）是最重要的证明类型，涉及软件构件的来源和构建指令。
- SLSA项目提供了软件供应链安全的共同框架。
- 构建证明服务需要发行证书、确保证书不被滥用、签名和验证签名。
- Sigstore简化了软件签名的过程，使其透明且易于采用。
- Sigstore要求符合The Update Framework (TUF)的安全信任根。
- Sigstore可以创建不可篡改的记录，将构件与CI链接起来。
❓
延伸问答
软件构件的生命周期缺乏可见性会带来什么安全挑战？
软件构件生命周期缺乏可见性使得难以追踪软件的来源和构建过程，增加了被恶意篡改的风险。
什么是数字签名，它在软件安全中有什么作用？
数字签名是对软件构件唯一性的保证，确保软件的可信来源，防止篡改。
Sigstore项目的主要功能是什么？
Sigstore是一个开源项目，提供X.509 CA和基于RFC 3161的证明服务，简化软件签名过程。
什么是来源证明（provenance attestation），它的重要性是什么？
来源证明是对软件构件来源和构建指令的声明，确保软件的可信性，是最重要的证明类型。
如何确保软件文件未被篡改？
可以通过生成文件的摘要并与之前的摘要进行比较来确保文件未被篡改。
SLSA项目在软件供应链安全中扮演什么角色？
SLSA项目提供了一个共同框架，帮助软件生产者和消费者理解安全保证和边界。
➡️
