InfoQ
·
供应链安全：来源工具在开发平台中成为标准
内容提要
软件来源在确保供应链安全和遵循新标准（如SLSA）方面愈发重要。HashiCorp的HCP Packer服务通过捕获构建元数据和SBOMs支持SLSA Level 1合规。多个开源项目（如Sigstore和in-toto）推动软件来源的自动化验证。尽管面临挑战，软件来源正逐渐成为标准功能，提升工程团队的调试和审计效率。
关键要点
-
软件来源在确保供应链安全和遵循新标准（如SLSA）方面愈发重要。
-
HashiCorp的HCP Packer服务通过捕获构建元数据和SBOMs支持SLSA Level 1合规。
-
SolarWinds和CodeCov等攻击事件显示了被破坏的构建过程如何让恶意代码传播。
-
美国的行政命令14028要求联邦软件供应商提供可验证的软件来源。
-
Sigstore和in-toto是推动软件来源自动化验证的两个开源项目。
-
Sigstore提供加密签名和透明性基础设施，已在npm、PyPI和Kubernetes等主要生态系统中获得广泛应用。
-
in-toto通过生成每个步骤的签名证明来保护整个管道，确保构建、测试和发布的透明性。
-
HashiCorp的Packer服务记录构建元数据并生成SBOM，强调其作为核心软件来源能力。
-
GitHub和Red Hat等公司也在其平台中集成了软件来源功能，支持SLSA规范。
-
SLSA的更高等级需要更强的保证，Level 2要求签名和防篡改的软件来源。
-
尽管支持不断增长，软件来源的采用仍面临挑战，包括格式演变和实施复杂性。
-
软件来源为工程团队提供了更清晰的构建过程，有助于调试、事件响应和审计准备。
-
软件来源正逐渐成为标准功能，开源项目和供应商正在推动其更广泛的采用。
延伸解读
软件来源的重要性
随着网络攻击事件的增加，软件来源的验证变得尤为重要。像SolarWinds和CodeCov这样的攻击案例表明，构建过程的安全性直接影响到最终用户的安全。因此，企业在选择软件供应商时，需关注其是否能提供可验证的软件来源，以降低潜在风险。
开源项目的推动作用
Sigstore和in-toto等开源项目在软件来源的自动化验证中发挥了关键作用。Sigstore通过加密签名和透明性基础设施，促进了软件来源的广泛应用，而in-toto则确保了构建过程的每一步都有签名证明。这些工具的使用可以显著提高供应链的安全性和透明度。
合规性与实施挑战
尽管软件来源的合规性要求日益增加，但在实际实施中，企业仍面临诸多挑战。不同工具生成的SBOM格式差异较大，导致比较和验证变得复杂。此外，复杂的实施过程和不明确的要求也可能阻碍企业的合规进程。
延伸问答
软件来源在供应链安全中有什么重要性？
软件来源在确保供应链安全和遵循新标准（如SLSA）方面愈发重要，能够防止恶意代码的传播。
HashiCorp的HCP Packer服务如何支持SLSA合规？
HCP Packer服务通过捕获构建元数据和生成SBOM来支持SLSA Level 1合规。
Sigstore和in-toto在软件来源验证中有什么作用？
Sigstore提供加密签名和透明性基础设施，而in-toto通过生成每个步骤的签名证明来保护整个管道。
美国的行政命令14028对软件供应商有什么要求？
行政命令14028要求联邦软件供应商提供可验证的软件来源。
软件来源的采用面临哪些挑战？
软件来源的采用面临格式演变和实施复杂性等挑战。
软件来源如何帮助工程团队？
软件来源为工程团队提供了更清晰的构建过程，有助于调试、事件响应和审计准备。
