InfoQ
·
供应链安全：来源工具在开发平台中成为标准
💡
原文英文，约600词，阅读约需2分钟。
📝
内容提要
软件来源在确保供应链安全和遵循新标准（如SLSA）方面愈发重要。HashiCorp的HCP Packer服务通过捕获构建元数据和SBOMs支持SLSA Level 1合规。多个开源项目（如Sigstore和in-toto）推动软件来源的自动化验证。尽管面临挑战，软件来源正逐渐成为标准功能，提升工程团队的调试和审计效率。
🎯
关键要点
- 软件来源在确保供应链安全和遵循新标准（如SLSA）方面愈发重要。
- HashiCorp的HCP Packer服务通过捕获构建元数据和SBOMs支持SLSA Level 1合规。
- SolarWinds和CodeCov等攻击事件显示了被破坏的构建过程如何让恶意代码传播。
- 美国的行政命令14028要求联邦软件供应商提供可验证的软件来源。
- Sigstore和in-toto是推动软件来源自动化验证的两个开源项目。
- Sigstore提供加密签名和透明性基础设施，已在npm、PyPI和Kubernetes等主要生态系统中获得广泛应用。
- in-toto通过生成每个步骤的签名证明来保护整个管道，确保构建、测试和发布的透明性。
- HashiCorp的Packer服务记录构建元数据并生成SBOM，强调其作为核心软件来源能力。
- GitHub和Red Hat等公司也在其平台中集成了软件来源功能，支持SLSA规范。
- SLSA的更高等级需要更强的保证，Level 2要求签名和防篡改的软件来源。
- 尽管支持不断增长，软件来源的采用仍面临挑战，包括格式演变和实施复杂性。
- 软件来源为工程团队提供了更清晰的构建过程，有助于调试、事件响应和审计准备。
- 软件来源正逐渐成为标准功能，开源项目和供应商正在推动其更广泛的采用。
❓
延伸问答
软件来源在供应链安全中有什么重要性？
软件来源在确保供应链安全和遵循新标准（如SLSA）方面愈发重要，能够防止恶意代码的传播。
HashiCorp的HCP Packer服务如何支持SLSA合规？
HCP Packer服务通过捕获构建元数据和生成SBOM来支持SLSA Level 1合规。
Sigstore和in-toto在软件来源验证中有什么作用？
Sigstore提供加密签名和透明性基础设施，而in-toto通过生成每个步骤的签名证明来保护整个管道。
美国的行政命令14028对软件供应商有什么要求？
行政命令14028要求联邦软件供应商提供可验证的软件来源。
软件来源的采用面临哪些挑战？
软件来源的采用面临格式演变和实施复杂性等挑战。
软件来源如何帮助工程团队？
软件来源为工程团队提供了更清晰的构建过程，有助于调试、事件响应和审计准备。
➡️
