يضيف OpenSSF مسارات سلسلة توريد البرامج إلى إطار عمل SLSA

أصدرت مؤسسة أمان المصدر المفتوح (OpenSSF) الإصدار 1.0 من مستويات سلسلة التوريد الخاصة بالبرامج (SLSA) مع أحكام محددة لسلسلة توريد البرامج.

تعيد فرق تطوير التطبيقات الحديثة بانتظام استخدام الكود من التطبيقات الأخرى وتسحب مكونات الكود وأدوات المطور من مصادر لا تعد ولا تحصى. وجد بحث من Snyk ومؤسسة Linux العام الماضي أن 41٪ من المنظمات لم يكن لديه ثقة عالية في أمان البرامج مفتوحة المصدر. نظرًا لأن هجمات سلسلة التوريد تشكل تهديدًا دائمًا ومتطورًا باستمرار ، تدرك فرق تطوير البرامج وفرق الأمان الآن أن مكونات وأطر العمل مفتوحة المصدر بحاجة إلى الحماية.

SLSA هو مشروع معايير أمان لسلسلة التوريد يحركه المجتمع تدعمه شركات التكنولوجيا الكبرى ، مثل Google و Intel و Microsoft و VMware و IBM. تركز SLSA على زيادة الدقة الأمنية في عملية تطوير البرامج. يمكن للمطورين اتباع إرشادات SLSA لجعل سلسلة توريد البرامج الخاصة بهم أكثر أمانًا ، ويمكن للمؤسسات استخدام SLSA لاتخاذ قرارات بشأن ما إذا كان ينبغي الوثوق بحزمة البرامج ، وفقًا لمؤسسة Open Source Security Foundation.

يوفر SLSA مفردات مشتركة للحديث عن أمان سلسلة توريد البرامج ؛ طريقة للمطورين لتقييم التبعيات الأولية من خلال تقييم مصداقية كود المصدر ، والبنيات ، وصور الحاويات المستخدمة في التطبيق ؛ قائمة تدقيق أمنية قابلة للتنفيذ ؛ وطريقة لقياس الامتثال لإطار عمل تطوير البرمجيات الآمنة (SSDF) القادم.

إصدار SLSA v1.0 يقسم متطلبات مستوى SLSA إلى مسارات متعددة ، كل منها يقيس جانبًا معينًا من أمان سلسلة توريد البرامج. ستساعد المسارات الجديدة المستخدمين على فهم المخاطر المرتبطة بسلاسل إمداد البرامج بشكل أفضل والتخفيف من حدتها ، وفي النهاية تطوير برامج أكثر أمانًا وموثوقية وعرضها واستخدامها ، كما يقول OpenSSF. يوفر SLSA v1.0 أيضًا إرشادات أكثر وضوحًا حول كيفية التحقق من المصدر ، إلى جانب إجراء تغييرات مقابلة على المواصفات وتنسيق المصدر.

• بناء المسار المستويات 1-3 ، والتي تتوافق تقريبًا مع المستويات 1-3 في إصدارات SLSA السابقة ، تصف مستويات الحماية ضد العبث أثناء إنشاء البرنامج أو بعده. تعكس متطلبات مسار البناء المهام المطلوبة: إنتاج القطع الأثرية ، والتحقق من أنظمة البناء ، والتحقق من القطع الأثرية. ستبني الإصدارات المستقبلية من إطار العمل على متطلبات معالجة الجوانب الأخرى لدورة حياة توصيل البرامج.

يشير البناء L1 إلى المصدر ، ويوضح كيف تم بناء الحزمة ؛ يشير البناء L2 إلى المصدر الموقع ، الذي تم إنشاؤه بواسطة خدمة بناء مستضافة ؛ ويشير Build L3 إلى أنه تم تقوية خدمة البناء.

قال OpenSSF إنه كلما ارتفع المستوى ، زادت الثقة في إمكانية إرجاع الحزمة إلى مصدرها وعدم العبث بها.

أمن سلسلة توريد البرمجيات هو عنصر أساسي في إدارة بايدن استراتيجية الأمن السيبراني الوطنية الأمريكية ، لأنه يدفع مزودي البرامج إلى تحمل مسؤولية أكبر عن أمان منتجاتهم. ومؤخراً ، أصدرت 10 وكالات حكومية من سبع دول (أستراليا ، وكندا ، وألمانيا ، وهولندا ، ونيوزيلندا ، والمملكة المتحدة ، والولايات المتحدة) إرشادات جديدة ، "تحويل ميزان مخاطر الأمن السيبراني: مبادئ وأساليب الأمن حسب التصميم والافتراض، لحث مطوري البرامج على اتخاذ الخطوات اللازمة للتأكد من أنهم يشحنون منتجات آمنة حسب التصميم وبشكل افتراضي. وهذا يعني إزالة كلمات المرور الافتراضية ، والكتابة بلغات برمجة أكثر أمانًا ، وإنشاء برامج للكشف عن الثغرات الأمنية للإبلاغ عن العيوب.

كجزء من تأمين سلسلة توريد البرمجيات ، يجب أن تشارك فرق الأمان مع المطورين لتثقيفهم حول ممارسات التشفير الآمن وتصميم تدريب للتوعية الأمنية ليشمل المخاطر المحيطة بدورة حياة تطوير البرمجيات.

• محتوى مدعوم من تحسين محركات البحث وتوزيع العلاقات العامة. تضخيم اليوم.
• بلاتوبلوكشين. Web3 Metaverse Intelligence. تضخيم المعرفة. الوصول هنا.
• سك المستقبل مع أدرين أشلي. الوصول هنا.
• المصدر https://www.darkreading.com/dr-tech/openssf-adds-software-supply-chain-tracks-to-slsa-framework