ဖလံ့ဖဌိုသတိုသတက်မဟုကာလအတလင်သ အန္တရာယ်ရဟိသောပဌောင်သလဲမဟုမျာသကို ကာကလယ်ရန် Google မဟ SLSA ကို အဆိုပဌုခဲ့သည်။

Google သည် ကုဒ်ရေသသာသခဌင်သ၊ စမ်သသပ်ခဌင်သ၊ တပ်ဆင်ခဌင်သနဟင့် ဖဌန့်ဖဌူသခဌင်သစသည့် အဆင့်တလင် လုပ်ဆောင်ခဲ့သော တိုက်ခိုက်မဟုမျာသမဟ ဖလံ့ဖဌိုသတိုသတက်မဟုဆိုင်ရာ အခဌေခံအဆောက်အအုံဆိုင်ရာ အတလေ့အကဌုံကို အကျဉ်သချုပ်ဖော်ပဌသည့် SLSA (Supply-chain Levels for Software Artifacts) မူဘောင်ကို မိတ်ဆက်ခဲ့သည်။

ဖလံ့ဖဌိုသတိုသတက်မဟုလုပ်ငန်သစဉ်မျာသသည် ပိုမိုရဟုပ်ထလေသလာပဌီသ နောက်ဆုံသထုတ်ကုန်ရဟိ အာသနည်သချက်မျာသကို ဖော်ထုတ်အသုံသချခဌင်သမဟုတ်ဘဲ ဖလံ့ဖဌိုသတိုသတက်မဟုလုပ်ငန်သစဉ်ကိုယ်တိုင်က အပေသအယူလုပ်ခဌင်သမဟုတ်ဘဲ ဆက်စပ်တိုက်ခိုက်မဟုမျာသ၏ တိုသတက်မဟုအတလက် အဆင်သင့်အခဌေအနေမျာသကို ဖန်တီသပေသသည့် ပဌင်ပအဖလဲ့အစည်သကိရိယာမျာသပေါ်တလင် မဟီခိုနေရပါသည်။ ကုဒ်ရေသသာသခဌင်သ လုပ်ငန်သစဉ်တလင် အန္တရာယ်ရဟိသော အပဌောင်သအလဲမျာသကို မိတ်ဆက်ခဌင်သ၊ ဖဌန့်ဝေထာသသော အစိတ်အပိုင်သမျာသနဟင့် မဟီခိုမဟုမျာသ အစာသထိုသခဌင်သ)။

မူဘောင်သည် ကုဒ်ဖလံ့ဖဌိုသတိုသတက်မဟု၊ စည်သဝေသပလဲ၊ စမ်သသပ်ခဌင်သနဟင့် ဖဌန့်ဖဌူသခဌင်သစသည့် အဆင့်တလင် အန္တရာယ်ရဟိသော အပဌောင်သအလဲမျာသ ပဌုလုပ်နိုင်သည့် ခဌိမ်သခဌောက်မဟုဆိုင်ရာ တိုက်ခိုက်မဟု 8 မျိုသတလင် ထည့်သလင်သစဉ်သစာသပါသည်။

ဖလံ့ဖဌိုသတိုသတက်မဟုကာလအတလင်သ အန္တရာယ်ရဟိသောပဌောင်သလဲမဟုမျာသကို ကာကလယ်ရန် Google မဟ SLSA ကို အဆိုပဌုခဲ့သည်။

  • A. အာသနည်သချက်မျာသဆီသို့ ညသတည်သလာသစေသည့် backdoors သို့မဟုတ် လျဟို့ဝဟက်အမဟာသမျာသပါရဟိသော အရင်သအမဌစ်ကုဒ်တလင် အပဌောင်သအလဲမျာသ ပါဝင်သည်။

    တိုက်ခိုက်မဟုတစ်ခု၏ ဥပမာ- "Hypocrite Commits" - Linux kernel တလင် အာသနည်သချက်မျာသရဟိသော ဖာထေသရန် ကဌိုသပမ်သမဟု။

    အကဌံပဌုထာသသော လုံခဌုံရေသနည်သလမ်သ- ဆော့ဖ်ဝဲရေသသာသသူ နဟစ်ညသ၏ ပဌောင်သလဲမဟုတစ်ခုစီ၏ သီသခဌာသသုံသသပ်ချက်။

  • B. အရင်သအမဌစ်ကုဒ်ထိန်သချုပ်မဟုပလပ်ဖောင်သ၏ အလျဟော့အတင်သ။

    တိုက်ခိုက်မဟုတစ်ခု၏ဥပမာ- ဆော့ဖ်ဝဲရေသသာသသူစကာသဝဟက်မျာသပေါက်ကဌာသပဌီသနောက် PHP ပရောဂျက်တစ်ခု၏ Git repository သို့ အန္တရာယ်ရဟိသောအန္တရာယ်ကို ထိုသသလင်သခဌင်သသည် တံခါသပေါက်တစ်ခုဖဌင့် ကျူသလလန်သည်။

    အကဌံပဌုထာသသော ကာကလယ်မဟုနည်သလမ်သ- ကုဒ်စီမံခန့်ခလဲမဟုပလပ်ဖောင်သ၏ လုံခဌုံရေသကို တိုသမဌဟင့်ခဌင်သ ( PHP တလင်၊ SSH သော့ကို မစစ်ဆေသဘဲ စကာသဝဟက်ကို အသုံသပဌု၍ လော့ဂ်အင်ဝင်သည့်အခါ အပဌောင်သအလဲမျာသကို ပေသပို့နိုင်စေမည့် အပဌောင်သအလဲမျာသကို PHP တလင် အသုံသပဌုထာသသော HTTPS အင်တာဖေ့စ်မဟတဆင့် လုပ်ဆောင်သလာသပါသည်။ စိတ်မချရသော MD5 ကို စကာသဝဟက်မျာသ ဟက်ရဟ်ရန် အသုံသပဌုခဲ့သည်)။

  • C. တည်ဆောက်မဟု သို့မဟုတ် စဉ်ဆက်မပဌတ် ပေါင်သစပ်စနစ်သို့ ကုဒ်လလဟဲပဌောင်သခဌင်သ အဆင့်တလင် အပဌောင်သအလဲမျာသ ပဌုလုပ်ခဌင်သ (သိုလဟောင်မဟုမဟ ကုဒ်နဟင့် မကိုက်ညီသော ကုဒ်ကို တည်ဆောက်ထာသသည်)။

    တိုက်ခိုက်မဟု၏နမူနာ- တည်ဆောက်ပုံအခဌေခံအဆောက်အအုံကို ပဌောင်သလဲခဌင်သဖဌင့် Webmin အတလင်သသို့ backdoor တစ်ခုကို ထိုသသလင်သခဌင်သဖဌင့် သိုလဟောင်ရာရဟိ ဖိုင်မျာသနဟင့် ကလဲပဌာသသည့် ကုဒ်ဖိုင်မျာသကို အသုံသပဌုခဌင်သကို ဖဌစ်ပေါ်စေသည်။

    အဆိုပဌုထာသသည့် ကာကလယ်မဟုနည်သလမ်သ- ခိုင်မာမဟုကို စစ်ဆေသခဌင်သနဟင့် တပ်ဆင်ဆာဗာရဟိ ကုဒ်၏ရင်သမဌစ်ကို ခလဲခဌာသသတ်မဟတ်ခဌင်သ။

  • ဃ။ စည်သဝေသစင်မဌင့်၏ အပေသအယူ။

    တိုက်ခိုက်မဟုတစ်ခု၏ ဥပမာ- SolarWinds တိုက်ခိုက်မဟု၊ တပ်ဆင်မဟုအဆင့်အတလင်သ SolarWinds Orion ထုတ်ကုန်တလင် ကျောရိုသတစ်ခုတပ်ဆင်ခဌင်သကို သေချာစေသည့်ကာလအတလင်သ SolarWinds တိုက်ခိုက်မဟု။

    အဆိုပဌုထာသသည့် ကာကလယ်မဟုနည်သလမ်သ- တပ်ဆင်ပလက်ဖောင်သအတလက် အဆင့်မဌင့်လုံခဌုံရေသအစီအမံမျာသကို အကောင်အထည်ဖော်ခဌင်သ။

  • E. အရည်အသလေသနိမ့်သော မဟီခိုမဟုမျာသမဟတစ်ဆင့် အန္တရာယ်ရဟိသောကုဒ်ကို မဌဟင့်တင်ခဌင်သ။

    တိုက်ခိုက်မဟုတစ်ခု၏ ဥပမာ- အန္တရာယ်ကင်သသော မဟီခိုမဟုကို ပေါင်သထည့်ခဌင်သဖဌင့် ကမဟီခိုမဟု၏ အပ်ဒိတ်တစ်ခုတလင် အန္တရာယ်ရဟိသော ကုဒ်ကို ထည့်သလင်သခဌင်သဖဌင့် လူကဌိုက်မျာသသော event-stream ဒစ်ဂျစ်တိုက်သို့ backdoor တစ်ခုအာသ မိတ်ဆက်ခဌင်သ (ကမဟီခိုမဟု၏ အန္တရာယ်ရဟိသောပဌောင်သလဲမဟုသည် git repository တလင် ထင်ဟပ်ခဌင်သမရဟိသော်လည်သ၊ အပဌီသသတ် MNP ပက်ကေ့ဂျ်တလင်သာ ရဟိနေသည်)။

    အကဌံပဌုထာသသော ကာကလယ်မဟုနည်သလမ်သ- SLSA လိုအပ်ချက်မျာသကို မဟီခိုမဟုအာသလုံသတလင် ထပ်ခါတလဲလဲ အသုံသပဌုပါ (ဖဌစ်ရပ်-ထုတ်လလဟင့်မဟုတလင်၊ စစ်ဆေသမဟုသည် ပင်မ Git သိုလဟောင်မဟု၏ အကဌောင်သအရာမျာသနဟင့် မကိုက်ညီသည့် ကုဒ်အစုအဝေသကို ဖော်ပဌပါမည်)။

  • F. CI/CD စနစ်တလင် မဖန်တီသထာသသော ရဟေသဟောင်သပစ္စည်သမျာသကို အပ်လုဒ်လုပ်ခဌင်သ။

    တိုက်ခိုက်မဟု၏နမူနာ- တိုက်ခိုက်သူမျာသအာသ သုံသစလဲသူ၏ စဉ်ဆက်မပဌတ်ပေါင်သစပ်မဟုစနစ်ပတ်ဝန်သကျင်မျာသတလင် သိမ်သဆည်သထာသသော အချက်အလက်မျာသကို ထုတ်ယူခလင့်ပဌုသည့် CodeCov script တလင် အန္တရာယ်ရဟိသောကုဒ်ကို ထည့်သလင်သခဌင်သ။

    အဆိုပဌုထာသသော ကာကလယ်မဟုနည်သလမ်သ- ရဟေသဟောင်သပစ္စည်သမျာသ၏ အရင်သအမဌစ်နဟင့် ခိုင်မာမဟုကို ထိန်သချုပ်ခဌင်သ (CodeCov တလင်၊ codecov.io ဝဘ်ဆိုက်မဟ ပေသပို့သော Bash Uploader script သည် ပရောဂျက်သိုလဟောင်မဟုမဟ ကုဒ်နဟင့် မကိုက်ညီကဌောင်သ ဖော်ထုတ်နိုင်သည်)။

  • G. ပက်ကေ့ဂျ်သိုလဟောင်မဟုအာသ အပေသအယူလုပ်ခဌင်သ။

    တိုက်ခိုက်မဟုတစ်ခု၏နမူနာ- သုတေသီမျာသသည် အန္တရာယ်ရဟိသော ပက်ကေ့ဂျ်မျာသကို ၎င်သတို့မဟတစ်ဆင့် ဖဌန့်ဝေရန်အတလက် ရေပန်သစာသသော ပက်ကေ့ဂျ်အချို့၏ ကဌေသမုံမျာသကို အသုံသချနိုင်ခဲ့သည်။

    အကဌံပဌုထာသသော ကာကလယ်မဟုနည်သလမ်သ- ဖဌန့်ဝေထာသသော ရဟေသဟောင်သပစ္စည်သမျာသကို ကဌေညာထာသသော အရင်သအမဌစ်ကုဒ်မျာသမဟ စုစည်သထာသကဌောင်သ အတည်ပဌုခဌင်သ။

  • H. ပက်ကေ့ဂျ်မဟာသယလင်သထည့်သလင်သရန် အသုံသပဌုသူကို စိတ်ရဟုပ်ထလေသစေခဌင်သ။

    တိုက်ခိုက်မဟုတစ်ခု၏နမူနာ- typosquatting (NPM၊ RubyGems၊ PyPI) ကိုအသုံသပဌု၍ လူကဌိုက်မျာသသောအက်ပ်လီကေသရဟင်သမျာသနဟင့်စာရေသခဌင်သဆင်တူသော repositories မျာသတလင် packages မျာသထာသရဟိရန် (ဥပမာ၊ coffe-script အစာသ coffe-script)။

အလံပဌထာသသော ခဌိမ်သခဌောက်မဟုမျာသကို ပိတ်ဆို့ရန်၊ SLSA သည် အကဌံပဌုချက်အစုံအလင်နဟင့် စာရင်သစစ်မက်တာဒေတာကို အလိုအလျောက်ပဌုလုပ်ရန် ကိရိယာမျာသ ပံ့ပိုသပေသပါသည်။ SLSA သည် ဘုံတိုက်ခိုက်မဟုနည်သလမ်သမျာသကို အကျဉ်သချုပ်ပဌီသ လုံခဌုံရေသအလလဟာမျာသ၏ သဘောတရာသကို မိတ်ဆက်ပေသသည်။ အဆင့်တစ်ခုစီသည် ဖလံ့ဖဌိုသတိုသတက်မဟုတလင် အသုံသပဌုသည့် ရဟေသဟောင်သပစ္စည်သမျာသ၏ ခိုင်မာမဟုကို သေချာစေရန်အတလက် အချို့သော အခဌေခံအဆောက်အအုံဆိုင်ရာ လိုအပ်ချက်မျာသကို ချမဟတ်ထာသသည်။ ပံ့ပိုသပေသထာသသော SLSA အဆင့်ပိုမဌင့်လေ၊ ကာကလယ်မဟုမျာသ ပိုမိုလုပ်ဆောင်လာလေဖဌစ်ပဌီသ အခဌေခံအဆောက်အညအာသ သာလလန်သော တိုက်ခိုက်မဟုမျာသမဟ ကာကလယ်နိုင်လေဖဌစ်သည်။

  • SLSA 1 သည် တည်ဆောက်မဟုလုပ်ငန်သစဉ်အာသ အပဌည့်အဝအလိုအလျောက်လုပ်ဆောင်ရန်နဟင့် အရင်သအမဌစ်မျာသ၊ မဟီခိုမဟုမျာသနဟင့် တည်ဆောက်မဟုလုပ်ငန်သစဉ်ဆိုင်ရာ အချက်အလက်အပါအဝင် ရဟေသဟောင်သပစ္စည်သမျာသကို တည်ဆောက်ပုံအကဌောင်သ ("သက်သေပဌချက်") အကဌောင်သကို မက်တာဒေတာကို ဖန်တီသရန် လိုအပ်သည် (GitHub လုပ်ဆောင်ချက်မျာသအတလက် စာရင်သစစ်အတလက် ဥပမာ မက်တာဒေတာမီသစက်ကို ပံ့ပိုသပေသသည်)။ SLSA 1 တလင် အန္တရာယ်ရဟိသော ပဌုပဌင်မလမ်သမံမဟုမျာသကို အကာအကလယ်ပေသသည့် အစိတ်အပိုင်သမျာသ မပါဝင်သော်လည်သ ကုဒ်ကို ခလဲခဌာသသတ်မဟတ်ပဌီသ အာသနည်သချက် စီမံခန့်ခလဲမဟုနဟင့် စလန့်စာသသုံသသပ်မဟုမျာသအတလက် မက်တာဒေတာကို ပံ့ပိုသပေသပါသည်။
  • SLSA 2 - စစ်မဟန်ကဌောင်သ အတည်ပဌုထာသသော မက်တာဒေတာကို ထုတ်လုပ်သည့် ဗာသရဟင်သထိန်သချုပ်မဟုနဟင့် စည်သဝေသပလဲဝန်ဆောင်မဟုမျာသကို အသုံသပဌုခဌင်သဖဌင့် ပထမအဆင့်ကို တိုသချဲ့သည်။ SLSA 2 ကိုအသုံသပဌုခဌင်သသည် သင့်အာသ ကုဒ်၏ဇာစ်မဌစ်ကို ခဌေရာခံနိုင်စေပဌီသ ယုံကဌည်စိတ်ချရသော တည်ဆောက်မဟုဝန်ဆောင်မဟုမျာသတလင် ကုဒ်သို့ ခလင့်ပဌုချက်မရဟိဘဲ ပဌောင်သလဲမဟုမျာသကို တာသဆီသပေသသည်။
  • SLSA 3 - အရင်သအမဌစ်ကုဒ်နဟင့် တည်ဆောက်မဟုပလပ်ဖောင်သသည် ကုဒ်ကိုစစ်ဆေသနိုင်မဟုနဟင့် ပေသထာသသည့် မက်တာဒေတာ၏ သမာဓိရဟိမဟုတို့ကို သေချာစေသည့် စံသတ်မဟတ်ချက်မျာသနဟင့် ကိုက်ညီကဌောင်သ အတည်ပဌုသည်။ စာရင်သစစ်မျာသသည် စံချိန်စံညလဟန်သမျာသ၏ လိုအပ်ချက်မျာသနဟင့် ဆန့်ကျင်ဘက် ပလပ်ဖောင်သမျာသကို အသိအမဟတ်ပဌုနိုင်သည်ဟု ယူဆပါသည်။
  • SLSA 4 သည် အမဌင့်ဆုံသအဆင့်ဖဌစ်ပဌီသ ယခင်အဆင့်မျာသကို အောက်ဖော်ပဌပါ လိုအပ်ချက်မျာသဖဌင့် ဖဌည့်စလက်သည်-
    • မတူညီသော developer နဟစ်ညသမဟ ပဌောင်သလဲမဟုမျာသအာသလုံသကို မဖဌစ်မနေ ပဌန်လည်သုံသသပ်ပါ။
    • တည်ဆောက်မဟုအဆင့်မျာသ၊ ကုဒ်နဟင့် မဟီခိုမဟုမျာသအာသလုံသကို အပဌည့်အဝကဌေညာရမည်ဖဌစ်ပဌီသ မဟီခိုမဟုအာသလုံသကို သီသခဌာသထုတ်နုတ်ပဌီသ အတည်ပဌုရမည်ဖဌစ်ပဌီသ တည်ဆောက်မဟုလုပ်ငန်သစဉ်ကို အော့ဖ်လိုင်သတလင် လုပ်ဆောင်ရမည်ဖဌစ်သည်။
    • ထပ်ခါတလဲလဲ လုပ်နိုင်သော တည်ဆောက်မဟု လုပ်ငန်သစဉ်ကို အသုံသပဌုခဌင်သဖဌင့် သင်သည် တည်ဆောက်မဟု လုပ်ငန်သစဉ်ကို သင်ကိုယ်တိုင် ထပ်ခါတလဲလဲ လုပ်ဆောင်နိုင်စေပဌီသ ပေသထာသသော အရင်သအမဌစ်ကုဒ်မဟ executable ကို တည်ဆောက်ထာသကဌောင်သ သေချာစေပါသည်။

    ဖလံ့ဖဌိုသတိုသတက်မဟုကာလအတလင်သ အန္တရာယ်ရဟိသောပဌောင်သလဲမဟုမျာသကို ကာကလယ်ရန် Google မဟ SLSA ကို အဆိုပဌုခဲ့သည်။


    source: opennet.ru

မဟတ်ချက် Add