Ref: https://security.googleblog.com/2021/06/introducing-slsa-end-to-end-framework.html
今天要探討的是一個由 Google Blog 於上個月所推廣的軟體安全性框架,該框架名為 SLSA,全名則是 Supply Chain Levels for Software Artifacts,中文部分我不知道該怎麼翻譯才可以精準達到意思,所以建議就唸英文就好了。
該框架的目的是希望於整個軟體生產鏈中能夠進一步的去提升且確保所有產物的完整性(Integrity 這個詞該怎麼翻呢..)。
文章中用了一個很簡易的流程來清楚的解釋到底何謂 Software Supply Chain 以及整個流程中可能會有什麼問題。
Software Supply Chain 一個範例譬如
1. 開發者撰寫程式碼,並且提交到遠方的 SCM Repository
2. SCM Repo 因為程式碼改變,所以觸發相關的 CI/CD 流程
3. CI/CD 建置結束後則需要打包整個程式碼,產生最後的 Package.
4. 產生後的 Packet 則可以正式上場使用
文章認為上述的流程中有兩個不同類別的安全性問題,分別是
1. Source Integrity
2. Build Integrity.
Source Integrity 這邊主要是針對 Source Code 相關的問題,譬如
1. 開發者是否有意的故意塞入一些會不懷好意的程式碼到 SCM Repo 內。
範例: Linux Hypocrite commits, 之前美國某大學研究團隊基於研究嘗試上傳一些不太好的程式碼而影響的討論風波
2. SCM 的管理平台是否可能被惡意攻擊
範例: PHP 事件: 之前自架的 PHP Git Server 被攻擊者惡意攻擊並且塞入兩筆不懷好意的 Commit
而 Build Integrity 本身則是有更多不同的面向,譬如
1. SCM 觸發 CI/CD 過程是否有可能有問題
範例: Webmin 事件,攻擊者去修改團隊的建置系統去使用沒有被 SCM 所記錄的修改檔案。
2. CI/CD 建置系統本身被攻擊
範例: SolarWinds 事件,攻擊者攻破建置系統去安裝一些軟體來修改整的建置流程
3. CI/CD 建置過程中引用到錯誤的 Dependency
4. 攻擊者上傳一些惡意產物到應該只有 CI/CD 系統才可以存取的場所。
... 等
目前來說, SLSA 還處於非常早期階段,經由業界的共識來思考每個領域有什麼好的措施與指引來避免與偵測系統是否被攻破。其最終目標狀態是希望能夠根據環境自動產生出一套可整合到系統中的產物,並且最後可以給出 SLSA 憑證來給平台或是建置後的 Package。
對 SLSA 這個專案有興趣看看的請參考原始連結,內容不長但是頗有趣的
「git commit中文」的推薦目錄:
- 關於git commit中文 在 矽谷牛的耕田筆記 Facebook 的最佳貼文
- 關於git commit中文 在 [請益] 關於git commit message - 看板Soft_Job - 批踢踢實業坊 的評價
- 關於git commit中文 在 [學習筆記] 如何撰好的Git Commit Message 的評價
- 關於git commit中文 在 Git Commit Messages 和Changelog 中的常用动词参考 的評價
- 關於git commit中文 在 《Pro Git》第二版中文文件翻譯對照表與規範 的評價
- 關於git commit中文 在 git commit中文的問題包括PTT、Dcard、Mobile01,我們都能 ... 的評價
- 關於git commit中文 在 git commit中文的問題包括PTT、Dcard、Mobile01,我們都能 ... 的評價
- 關於git commit中文 在 git commit中文的問題包括PTT、Dcard、Mobile01,我們都能 ... 的評價
- 關於git commit中文 在 Git.tw | 各位大佬們好,小弟最近把GitKraken 翻譯成中文了 的評價
- 關於git commit中文 在 [Git] Git 版本控制基本指令筆記(上) 的評價
- 關於git commit中文 在 Git 與Github 版本控制基本指令與操作入門教學 的評價
- 關於git commit中文 在 Unreal Engine 4 Github 的評價
git commit中文 在 [學習筆記] 如何撰好的Git Commit Message 的推薦與評價
Git 在每次Commit 時,需要寫下Git Commit Message(提交說明),用來記錄提交版本更動的摘要。 任何專案都至少由兩個以上的開發者共同合作開發。 ... <看更多>
git commit中文 在 Git Commit Messages 和Changelog 中的常用动词参考 的推薦與評價
优质的Git commit message 和Changelog 不仅可以让协作者们一目了然地了解版本 ... 英文原文省略了「的问题」,在使用Fix 时,经常可以省略中文「的 ... ... <看更多>
git commit中文 在 [請益] 關於git commit message - 看板Soft_Job - 批踢踢實業坊 的推薦與評價
通常把一個功能做完之後,為了保險起見都會先 commit 一下
但是苦惱的是如果是一個功能還沒完成,但是又必須先停止,等下次再繼續做時
這時候就不知道該怎麼在 git message 描述自己還正在想,
或者是說有寫了一些 code 但是不是正式的,只是用來測試的 code ......
可能是因為自己英文不夠好,所以這個問題有點困擾
大家可以分享一下類似的問題,該怎麼寫 message 來表示上述的情況嗎?
謝謝
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 1.173.66.240 (臺灣)
※ 文章網址: https://www.ptt.cc/bbs/Soft_Job/M.1562105185.A.189.html
... <看更多>