OpenSSF SLSA ফ্রেমওয়ার্কে সফটওয়্যার সাপ্লাই চেইন ট্র্যাক যোগ করে

ওপেন সোর্স সিকিউরিটি ফাউন্ডেশন (ওপেনএসএসএফ) সফ্টওয়্যার সাপ্লাই চেইনের জন্য নির্দিষ্ট বিধান সহ সফ্টওয়্যার আর্টিফ্যাক্টস (SLSA) এর জন্য সাপ্লাই-চেইন স্তরের v1.0 প্রকাশ করেছে।

আধুনিক অ্যাপ্লিকেশন ডেভেলপমেন্ট দলগুলি নিয়মিতভাবে অন্যান্য অ্যাপ্লিকেশন থেকে কোড পুনঃব্যবহার করে এবং অগণিত উত্স থেকে কোড উপাদান এবং বিকাশকারী সরঞ্জামগুলি টেনে নেয়। গত বছর Snyk এবং লিনাক্স ফাউন্ডেশনের গবেষণায় দেখা গেছে যে 41% প্রতিষ্ঠান ওপেন সোর্স সফ্টওয়্যার নিরাপত্তার উপর উচ্চ আস্থা ছিল না. সরবরাহ শৃঙ্খল আক্রমণগুলি একটি চির-বর্তমান এবং সর্বদা বিকশিত হুমকির সৃষ্টি করে, সফ্টওয়্যার উন্নয়ন দল এবং নিরাপত্তা দল উভয়ই এখন স্বীকার করে যে ওপেন সোর্স উপাদান এবং কাঠামো সুরক্ষিত করা প্রয়োজন।

SLSA হল একটি কমিউনিটি-চালিত সাপ্লাই চেইন সিকিউরিটি স্ট্যান্ডার্ড প্রোজেক্ট যা গুগল, ইন্টেল, মাইক্রোসফট, ভিএমওয়্যার এবং IBM-এর মতো বড় প্রযুক্তি কোম্পানিগুলির দ্বারা সমর্থিত। SLSA সফ্টওয়্যার উন্নয়ন প্রক্রিয়ার মধ্যে নিরাপত্তা কঠোরতা বাড়ানোর উপর দৃষ্টি নিবদ্ধ করে। ওপেন সোর্স সিকিউরিটি ফাউন্ডেশনের মতে, বিকাশকারীরা তাদের সফ্টওয়্যার সরবরাহ চেইনকে আরও সুরক্ষিত করতে SLSA-এর নির্দেশিকা অনুসরণ করতে পারে এবং এন্টারপ্রাইজগুলি একটি সফ্টওয়্যার প্যাকেজ বিশ্বাস করতে হবে কিনা সে সম্পর্কে সিদ্ধান্ত নিতে SLSA ব্যবহার করতে পারে।

SLSA সফ্টওয়্যার সরবরাহ চেইন নিরাপত্তা সম্পর্কে কথা বলার জন্য একটি সাধারণ শব্দভান্ডার প্রদান করে; অ্যাপ্লিকেশনে ব্যবহৃত সোর্স কোড, বিল্ড এবং কন্টেইনার ইমেজের বিশ্বস্ততা মূল্যায়ন করে ডেভেলপারদের আপস্ট্রিম নির্ভরতা মূল্যায়ন করার একটি উপায়; একটি কর্মযোগ্য নিরাপত্তা চেকলিস্ট; এবং আসন্ন সিকিউর সফটওয়্যার ডেভেলপমেন্ট ফ্রেমওয়ার্ক (SSDF) এর সাথে সম্মতি পরিমাপ করার একটি উপায়।

SLSA v1.0 রিলিজ SLSA-এর স্তরের প্রয়োজনীয়তাগুলিকে একাধিক ট্র্যাকে ভাগ করে, প্রতিটি সফ্টওয়্যার সরবরাহ চেইন নিরাপত্তার একটি বিশেষ দিক পরিমাপ করে। নতুন ট্র্যাকগুলি ব্যবহারকারীদের সফ্টওয়্যার সরবরাহ চেইনের সাথে সম্পর্কিত ঝুঁকিগুলিকে আরও ভালভাবে বুঝতে এবং হ্রাস করতে এবং শেষ পর্যন্ত আরও নিরাপদ এবং নির্ভরযোগ্য সফ্টওয়্যার বিকাশ, প্রদর্শন এবং ব্যবহার করতে সহায়তা করবে, OpenSSF বলে। SLSA v1.0 স্পেসিফিকেশন এবং প্রোভেন্যান্স ফরম্যাটে সংশ্লিষ্ট পরিবর্তনগুলি করার সাথে সাথে, কীভাবে উত্স যাচাই করতে হয় সে সম্পর্কে আরও স্পষ্ট নির্দেশিকা প্রদান করে৷

সার্জারির ট্র্যাক তৈরি করুন লেভেল 1-3, যা মোটামুটিভাবে পূর্ববর্তী SLSA সংস্করণে লেভেল 1-3-এর সাথে মিলে যায়, সফ্টওয়্যার তৈরির সময় বা পরে টেম্পারিংয়ের বিরুদ্ধে সুরক্ষার স্তরগুলি বর্ণনা করে। বিল্ড ট্র্যাকের প্রয়োজনীয়তাগুলি প্রয়োজনীয় কাজগুলিকে প্রতিফলিত করে: আর্টিফ্যাক্ট তৈরি করা, বিল্ড সিস্টেম যাচাই করা এবং আর্টিফ্যাক্টগুলি যাচাই করা। ফ্রেমওয়ার্কের ভবিষ্যত সংস্করণগুলি সফ্টওয়্যার ডেলিভারি জীবন চক্রের অন্যান্য দিকগুলিকে মোকাবেলা করার প্রয়োজনীয়তার ভিত্তিতে তৈরি করবে।

বিল্ড L1 প্রোভেনেন্স নির্দেশ করে, প্যাকেজটি কীভাবে তৈরি করা হয়েছিল তা দেখায়; বিল্ড L2 একটি হোস্টেড বিল্ড পরিষেবা দ্বারা উত্পন্ন, স্বাক্ষরিত উত্স নির্দেশ করে; এবং বিল্ড L3 নির্দেশ করে যে বিল্ড পরিষেবা শক্ত করা হয়েছে।

ওপেনএসএসএফ বলেছে যে স্তরটি যত উচ্চতর হবে, তত বেশি আত্মবিশ্বাস যে একটি প্যাকেজ তার উত্সে ফিরে পাওয়া যেতে পারে এবং এর সাথে হেরফের করা হয়নি।

সফ্টওয়্যার সরবরাহ চেইন নিরাপত্তা বিডেন প্রশাসনের একটি মূল উপাদান মার্কিন জাতীয় সাইবার নিরাপত্তা কৌশল, যেহেতু এটি সফ্টওয়্যার প্রদানকারীদের তাদের পণ্যগুলির নিরাপত্তার জন্য আরও বেশি দায়িত্ব গ্রহণ করতে বাধ্য করে৷ এবং সম্প্রতি, সাতটি দেশের 10টি সরকারী সংস্থা (অস্ট্রেলিয়া, কানাডা, জার্মানি, নেদারল্যান্ডস, নিউজিল্যান্ড, যুক্তরাজ্য এবং মার্কিন যুক্তরাষ্ট্র) নতুন নির্দেশিকা প্রকাশ করেছে, “সাইবারসিকিউরিটি ঝুঁকির ভারসাম্য পরিবর্তন করা: সিকিউরিটি-বাই-ডিজাইন এবং ডিফল্টের জন্য নীতি ও পদ্ধতি,” সফ্টওয়্যার ডেভেলপারদের প্রয়োজনীয় পদক্ষেপ নেওয়ার জন্য অনুরোধ জানানোর জন্য যে তারা পণ্যগুলি শিপিং করছে যা ডিজাইন এবং ডিফল্টভাবে উভয়ই সুরক্ষিত। এর অর্থ ডিফল্ট পাসওয়ার্ডগুলি সরানো, নিরাপদ প্রোগ্রামিং ভাষায় লেখা এবং ত্রুটিগুলি রিপোর্ট করার জন্য দুর্বলতা প্রকাশের প্রোগ্রাম স্থাপন করা।

সফ্টওয়্যার সরবরাহ শৃঙ্খল সুরক্ষিত করার অংশ হিসাবে, সুরক্ষা দলগুলিকে সফ্টওয়্যার বিকাশের জীবন চক্রের আশেপাশের ঝুঁকিগুলিকে অন্তর্ভুক্ত করার জন্য নিরাপদ কোডিং অনুশীলন এবং সেলাই নিরাপত্তা সচেতনতা প্রশিক্ষণ সম্পর্কে শিক্ষিত করার জন্য বিকাশকারীদের সাথে জড়িত হওয়া উচিত।

• এসইও চালিত বিষয়বস্তু এবং পিআর বিতরণ। আজই পরিবর্ধিত পান।
• প্লেটোব্লকচেন। Web3 মেটাভার্স ইন্টেলিজেন্স। জ্ঞান প্রসারিত. এখানে প্রবেশ করুন.
• অ্যাড্রিয়েন অ্যাশলির সাথে ভবিষ্যত মিন্টিং। এখানে প্রবেশ করুন.
• উত্স: https://www.darkreading.com/dr-tech/openssf-adds-software-supply-chain-tracks-to-slsa-framework