Google e hlahisitse moralo oa SLSA (Supply-chain Levels for Software Artifacts), o akaretsang boiphihlelo bo teng ba ho sireletsa lisebelisoa tsa ntlafatso litlhaselong tse etsoang nakong ea ho ngola khoutu, ho lekola, ho kopanya le ho aba sehlahisoa.
Mekhoa ea ntlafatso e ntse e rarahana le ho itšetleha ka lisebelisoa tsa motho oa boraro, e leng se etsang hore ho be le maemo a matle bakeng sa nts'etsopele ea litlhaselo tse amanang le ho se tsebe ho tsebahatsa le ho sebelisa bofokoli sehlahisoa sa ho qetela, empa ho senya ts'ebetso ea nts'etsopele ka boeona (litlhaselo tsa ketane ea phepelo, hangata li lebisitsoe ho ho hlahisa liphetoho tse mpe mokhoeng oa ho ngola khoutu, ho kenya sebaka sa likarolo tse ajoang le litšepeho).
Moralo ona o nahanela mefuta e 8 ea litlhaselo tse amanang le tšokelo ea ho etsa liphetoho tse mpe sethaleng sa nts'etsopele ea khoutu, kopano, tlhahlobo le kabo ea sehlahisoa.
- K. Ho kenyelletsa le liphetoho ho khoutu ea mohloli tse nang le mamati a ka morao kapa liphoso tse patiloeng tse lebisang ho senyehang.
Mohlala oa tlhaselo: "Boikaketsi ba Boikaketsi" - teko ea ho khothaletsa likhechana tse nang le bofokoli ka har'a kernel ea Linux.
Mokhoa oa ts'ireletso o sisintsoeng: tlhahlobo e ikemetseng ea phetoho e 'ngoe le e' ngoe ke baetsi ba babeli.
- B. Ho sekisetsa sethaleng sa taolo ea khoutu ea mohloli.
Mohlala oa tlhaselo: ente ea liketso tse lonya ka monyako o ka morao sebakeng sa polokelo ea Git ea projeke ea PHP ka mor'a hore li-password tsa mohlahlami li hlahisoe.
Mokhoa oa tšireletso o khothaletsoang: Tšireletso e eketsehileng ea sethaleng sa tsamaiso ea khoutu (tabeng ea PHP, tlhaselo e ile ea etsoa ka sebopeho sa HTTPS se sa sebelisoang hanyenyane, se ileng sa lumella liphetoho ho romelloa ha u kena ka ho sebelisa password ntle le ho hlahloba senotlolo sa SSH, ho sa tsotellehe taba ea hore MD5 e sa tšepahaleng e sebelisitsoe ho hash password).
- C. Ho etsa liphetoho sethaleng sa ho fetisetsa khoutu ho mohaho oa mohaho kapa o tsoelang pele oa ho kopanya (khoutu e sa lumellaneng le khoutu e tsoang polokelong e hahiloe).
Mohlala oa tlhaselo: Ho kenya backdoor ho Webmin ka ho etsa liphetoho meahong ea kaho, ho fella ka ts'ebeliso ea lifaele tsa khoutu tse fapaneng le lifaele tse polokelong.
Mokhoa oa ts'ireletso o reriloeng: Ho hlahloba botšepehi le ho tseba mohloli oa khoutu ho seva sa kopano.
- D. Ho sekisetsa sethaleng sa kopano.
Mohlala oa tlhaselo: tlhaselo ea SolarWinds, eo ka eona ho ileng ha netefatsoa hore ho kenngoe monyako o ka morao ho sehlahisoa sa SolarWinds Orion nakong ea kopano.
Mokhoa o reriloeng oa ts'ireletso: ts'ebetsong ea mehato e tsoetseng pele ea ts'ireletso bakeng sa sethala sa kopano.
- E. Khothatso ea khoutu e kotsi ka ho itšetleha ka boleng bo tlase.
Mohlala oa tlhaselo: ho hlahisoa ha ntlo e ka morao laebraring e tsebahalang ea liketsahalo ka ho eketsa ts'epo e se nang kotsi ebe o kenyelletsa khoutu e mpe ho e 'ngoe ea lintlafatso tsa ts'epo ena (phetoho e mpe ha ea ka ea bonahala polokelong ea git, empa e fumaneha feela ka har'a sephutheloana sa MNP se phethiloeng).
Mokhoa oa ts'ireletso o sisintsoeng: sebelisa litlhokahalo tsa SLSA khafetsa ho bohle ba itšetlehileng ka bona (maemong a phallo ea liketsahalo, cheke e tla senola pokello ea khoutu e sa tsamaellaneng le litaba tsa polokelo ea mantlha ea Git).
- F. Ho kenya li-artifacts tse sa etsoang tsamaisong ea CI/CD.
Mohlala oa tlhaselo: ho eketsa khoutu e mpe ho CodeCov script, e ileng ea lumella bahlaseli ho ntša boitsebiso bo bolokiloeng tikolohong ea tsamaiso e tsoelang pele ea bareki.
Mokhoa oa ts'ireletso o reriloeng: taolo holim'a mohloli le botšepehi ba lintho tsa khale (tabeng ea CodeCov, ho ka senoloa hore mongolo oa Bash Uploader o rometsoeng ho tsoa webosaeteng ea codecov.io ha o tsamaellane le khoutu e tsoang polokelong ea morero).
- G. Compromise ea polokelo ea liphutheloana.
Mohlala oa tlhaselo: Bafuputsi ba khonne ho kenya liipone tsa polokelo ea liphutheloana tse tsebahalang e le hore ba ka aba liphutheloana tse kotsi ka tsona.
Mokhoa oa ts'ireletso o sisintsoeng: Netefatso ea hore li-artifact tse phatlalalitsoeng li hlophisitsoe ho tsoa ho likhoutu tse phatlalalitsoeng tsa mohloli.
- H. Ho ferekanya mosebedisi ho kenya sephutheloana se fosahetseng.
Mohlala oa tlhaselo: ho sebelisa typosquatting (NPM, RubyGems, PyPI) ho beha liphutheloana libakeng tsa polokelo tse tšoanang ka mongolo le lits'ebetso tse tsebahalang (mohlala, coffe-script sebakeng sa kofi-script).
Ho thibela litšokelo tse tšoailoeng, SLSA e fana ka likhothaletso tse ngata, hammoho le lisebelisoa tsa ho iketsetsa tlhahiso ea metadata ea tlhahlobo. SLSA e akaretsa mekhoa e tloaelehileng ea tlhaselo mme e hlahisa mohopolo oa mekhahlelo ea ts'ireletso. Boemo bo bong le bo bong bo beha litlhoko tse itseng tsa meralo ea motheo ho netefatsa bots'epehi ba lintho tsa khale tse sebelisoang ntlafatsong. Ha maemo a SLSA a tshehetswang a phahame, ke moo tshireletso e ntseng e kenngwa tshebetsong le ho feta le ho sireletsa meralo ya motheo ho tswa ditlhaselong tse tlwaelehileng.
- SLSA 1 e hloka hore ts'ebetso ea kaho e itirise ka botlalo 'me e hlahise metadata ("provenance") mabapi le hore na lintho tsa khale li hahuoa joang, ho kenyeletsoa tlhahisoleseling mabapi le mehloli, litšepeho, le mokhoa oa ho aha (mohlala oa jenereithara ea metadata bakeng sa tlhahlobo e fanoe bakeng sa GitHub Actions). SLSA 1 ha e kenyelletse likarolo tsa ts'ireletso khahlano le liphetoho tse mpe, empa e supa khoutu le ho fana ka metadata bakeng sa taolo ea ts'ireletso le tlhahlobo ea kotsi.
- SLSA 2 - e eketsa boemo ba pele ka ho hloka ts'ebeliso ea taolo ea mofuta le lits'ebeletso tsa kopano tse hlahisang metadata e netefalitsoeng. Tšebeliso ea SLSA 2 e u fa monyetla oa ho fumana hore na khoutu e simolohile hokae le ho thibela liphetoho tse sa lumelloeng ho khoutu tabeng ea litšebeletso tsa kaho tse tšeptjoang.
- SLSA 3 - e tiisa hore khoutu ea mohloli le sethala sa kaho li finyella litlhoko tsa litekanyetso tse tiisang bokhoni ba ho hlahloba khoutu le ho netefatsa botšepehi ba metadata e fanoeng. Ho nahanoa hore bahlahlobi ba ka netefatsa liforomo khahlanong le litlhoko tsa litekanyetso.
- SLSA 4 ke boemo bo phahameng ka ho fetisisa, bo tlatsetsang maemo a fetileng ka litlhoko tse latelang:
- Tlhahlobo e tlamang ea liphetoho tsohle ke baetsi ba babeli ba fapaneng.
- Mehato eohle ea ho aha, khoutu, le litšepeho li tlameha ho phatlalatsoa ka botlalo, litšepe tsohle li tlameha ho ntšoa ka thoko le ho netefatsoa, 'me ts'ebetso ea kaho e tlameha ho etsoa ntle le marang-rang.
- Ho sebelisa mokhoa o pheta-phetoang oa ho aha ho u fa monyetla oa ho pheta ts'ebetso ea kaho le ho netefatsa hore e phethiloeng e hahiloe ho tsoa ho khoutu ea mohloli e fanoeng.
Source: opennet.ru