标签： supply

发布于

什么是 ‘Supply Chain Transparency (SLSA)’：在 Go 项目构建流程中实现端到端的工件签名与来源校验

各位同仁，下午好！ 今天，我们将深入探讨一个在现代软件开发中日益关键的议题：软件供应链的透明度与安全性。特别是，我们将聚焦于如何利用 SLSA（Supply Chain Levels for Software Artifacts）框架，在 Go 项目的构建流程中实现端到端的工件签名与来源校验。这不仅仅是一项技术实践，更是我们作为开发者对构建可信赖软件的承诺。 1. 软件供应链安全：迫在眉睫的挑战 近年来，软件供应链攻击事件频发，从 SolarWinds 到 Log4Shell，每一次都给行业敲响了警钟。攻击者不再满足于直接攻击最终应用，而是转向利用软件开发和分发过程中的薄弱环节。 什么是软件供应链？ 它不仅仅是你的代码仓库。一个典型的软件供应链包含： 开发者: 编写、测试代码。 依赖项: 第三方库、框架、操作系统组件。 构建系统: 编译器、构建工具、CI/CD 平台。 工件仓库: 存储二进制文件、容器镜像、包。 分发渠道: 包管理器、容器注册表。 部署环境: 运行软件的服务器、容器编排平台。 任何一个环节的漏洞，都可能导致恶意代码被注入、篡改，最终影响到数百万用户。 为什么需要透明度？ …

继续阅读“什么是 ‘Supply Chain Transparency (SLSA)’：在 Go 项目构建流程中实现端到端的工件签名与来源校验”

发布于

什么是 ‘Supply Chain Security (SLSA)’：在 Go 项目中自动化生成并签署 SBOM 的标准流程

软件供应链安全 (SLSA)：在 Go 项目中自动化生成并签署 SBOM 的标准流程 在当今瞬息万变的软件开发环境中，软件供应链的安全性已成为一个不可忽视的核心议题。从 SolarWinds 到 Log4Shell，一系列高影响力事件清晰地揭示了现代软件依赖关系网络的脆弱性。一个微小的漏洞或恶意篡改，潜藏在供应链深处，都可能对整个系统乃至国家安全造成灾难性影响。因此，建立一套透明、可验证、防篡改的机制，以确保软件从源代码到部署的整个生命周期都值得信赖，已成为业界共识。 SLSA (Supply-chain Levels for Software Artifacts)，即软件工件的供应链级别，正是在这一背景下应运而生，它是一套端到端的安全框架，旨在提高软件供应链的完整性，并防范各种形式的篡改。与此同时，软件物料清单 (SBOM – Software Bill of Materials) 则作为构建透明度的基石，提供了软件组件的全面列表，使得漏洞追踪和风险管理成为可能。 本次讲座将深入探讨如何在 Go 项目中自动化生成并签署 SBOM，并将其无缝集成到 CI/CD 流程中，从而 …

继续阅读“什么是 ‘Supply Chain Security (SLSA)’：在 Go 项目中自动化生成并签署 SBOM 的标准流程”

发布于

Securing the Software Supply Chain in the Cloud Native Era

好的，各位亲爱的开发者朋友们，大家好！我是你们的老朋友，代码世界的探险家，Bug 终结者！今天咱们来聊聊一个既重要又时髦的话题：在云原生时代，如何守住我们的软件供应链？ 🛡️ 想象一下，我们辛辛苦苦搭建的城堡（我们的应用），坚固美丽，但城墙上却开了无数扇小门，各种供应商、第三方组件、开源库像潮水一样涌进来。如果这些“外来户”里混进来几个“内鬼”，那可就糟糕了！城堡瞬间就被攻陷了，损失惨重啊！ 所以，在云原生时代，保护我们的软件供应链，就像守卫我们的城堡一样重要！ 开篇：云原生时代的供应链之殇 云原生，这个词听起来高大上，仿佛自带光环。但它本质上就是把应用拆解成一个个微服务，然后像搭积木一样，把它们组合起来。好处是开发效率高了，部署更灵活了，弹性伸缩也更容易了。但是，这同时也意味着，我们的应用对外部依赖的依赖程度大大增加！ 想想看，一个微服务可能要依赖十几个、甚至几十个开源库，每个开源库又可能依赖其他的库。这就像一个巨大的“依赖树”，一荣俱荣，一损俱损。如果其中一个环节出了问题，整个应用都可能崩溃！ 🤯 更可怕的是，这些依赖往往来自不同的供应商，不同的社区，不同的开发者。我们对它们的信任 …

继续阅读“Securing the Software Supply Chain in the Cloud Native Era”

发布于

Kubernetes Supply Chain Security：镜像签名、准入控制与策略引擎（OPA/Kyverno）

好的，各位观众老爷，各位技术大咖，以及各位在代码海洋里摸爬滚打的程序猿们，晚上好！(此处应该有掌声👏) 今天咱们要聊的，可是个既重要又有点神秘的话题：Kubernetes Supply Chain Security，也就是Kubernetes供应链安全。 啥是供应链？ 简单来说，就是你从开始写代码，到最终把应用跑在Kubernetes集群里，这整个过程就像一条链子，环环相扣。 任何一个环节出了问题，整个链条都可能断裂，你的应用就可能遭受攻击。 那为啥要重视它呢？你想啊，如果你的镜像被人篡改了，或者你的集群准入策略形同虚设，那岂不是给黑客开了后门，让他们在你家里溜达？ 细思极恐啊！😱 所以，今天咱们就来扒一扒 Kubernetes 供应链安全这件“皇帝的新衣”，看看它到底有哪些门道，以及我们该如何才能穿得安全又放心。 一、 供应链安全：你的代码，真的安全吗？ 咱们先来聊聊供应链安全的重要性。 想象一下，你辛辛苦苦写了一堆代码，测试得完美无缺，结果打包成镜像的时候，被人偷偷塞了个恶意程序进去，等你部署到集群里，就等着被黑客收割吧！ 这种事情，可不是危言耸听，而是真实存在的威胁。 供应链安全 …

继续阅读“Kubernetes Supply Chain Security：镜像签名、准入控制与策略引擎（OPA/Kyverno）”