AUT-0726· Безпека та відповідність
Перевірка походження програмного артефакту перед розгортанням
Перед розгортанням команда звіряє підписане походження точного програмного файлу з дозволеним репозиторієм і процесом збірки.
Чернетка · Оцінка потребує перевірки
01 / Проблема
Команда отримала пакет із назвою потрібного релізу, але не знає, хто і з яких вихідних матеріалів його зібрав. Назва файлу або прикріплений звіт помилково замінює перевірку походження.
02 / Результат
Для точного відбитка артефакту є результат перевірки підпису та дозволеного джерела збірки; невідповідний пакет не проходить погоджений маршрут розгортання.
03 / Процес
ТригерНовий програмний артефакт передано для погодженого розгортання.
Зафіксувати точний артефакт і його відбиток, призначення та дозволені репозиторії й процеси збірки; змінений файл потребує нового результату.
Отримати доступне підписане підтвердження походження для цього артефакту; відсутність даних або помилку доступу не вважати успішною перевіркою.
Перевірити підпис і відповідність артефакту через погоджений засіб; текстове твердження про джерело не замінює криптографічного результату.
Звірити репозиторій і процес підписувача з політикою; для спільного процесу збірки перевірити саме дозволеного підписувача, а не лише власника виклику.
Невідоме походження, змінений відбиток або невідповідність передати відповідальному; виняток має окреме рішення для точного пакета.
Передати результат до маршруту розгортання і звірити фактично використаний артефакт; зберегти докази та рішення без автоматичного висновку про безпечність коду.
04 / Реалізація1 варіант
Приклад · Контроль із підтвердженням результату
Пакет мав правильну назву релізу, але підтвердження вказувало інший процес підписувача. Розгортання зупинили до розгляду; перейменування файлу не змінило рішення.
Спосіб реалізації
- Вести політику дозволених джерел, результати перевірки та погоджені винятки.
- Звіряти відбиток і підписане походження через перевірений засіб та передавати результат до маршруту розгортання.
Що потрібно для реалізації
- Дозволені джерела й процеси збірки та відповідальний за винятки.
- Артефакти з доступними підтвердженнями походження.
- Перевірений засіб перевірки підпису й права доступу.
- Зв’язок результату з точним артефактом у маршруті розгортання.
Обмеження
- GitHub описує підтвердження походження й перевірку конкретного репозиторію та процесу підписувача. Підтвердження без перевірки не створює користі для безпеки.
- Перевірене походження не гарантує відсутності вразливостей або шкідливого коду. Перевірка ліцензій, бізнес-тести й погодження зміни мають окремі маршрути.
- Нову інфраструктуру підписування, зміну реального конвеєра, сертифікацію SLSA та універсальну сумісність усіх постачальників не включено.
- Права й можливості цільового середовища перевіряють на аудиті; години попередні.
Що потрібно уточнити (2)
- Чи потрібно розрізняти репозиторій виклику й спільний процес підписувача?
Надайте дозволені джерела, процеси та правила винятків.
- Чи потрібна перевірка фактично використаного артефакту в маршруті розгортання?
Погодьте зв’язок відбитка, результату перевірки й використаного пакета.