DevSecOps ve Yazılım Tedarik Zinciri
Derleme ve Yayın Bütünlüğü
Yayınladığınız her paketin onaylı kaynaktan ve değiştirilmemiş bir derlemeden geldiğini imza ve kayıtlarla kanıtlamanızı sağlıyoruz. Derleme sırasında yapılan bir değişiklik, dağıtımdan önce tespit edilir.
Nedir?
Kaynak kodunu inceleyen bir süreç, derleme ortamında eklenen kodu göremez. Böyle bir müdahale, imzalı ve meşru görünen bir güncellemeyle tüm müşterilere ulaşabilir. Derleme bütünlüğü, her paketin hangi kaynak koddan, hangi ortamda ve hangi adımlarla üretildiğini kaydeden bir köken (provenance) belgesine dayanır. SLSA çerçevesi bu kontrolleri seviyelere ayırır ve hedef belirlemeyi kolaylaştırır.
Kapsam
- Derleme ortamının yalıtımı ve geliştirici erişiminden ayrılması
- Her paket için imzalı köken (provenance) kaydı
- Paket ve imajların imzalanması ve imza anahtarlarının korunması
- Dağıtımdan önce imzanın ve kökenin doğrulanması
- SLSA seviyelerine göre mevcut durum ve hedef
- Yayın kayıtlarının denetim için saklanması
İhtiyaç
Hangi durumlarda ihtiyaç duyulur?
- Banka olarak, kodun ortamlar arasında taşınmasında BDDK'nın istediği bütünlük kontrollerini göstermeniz gerektiğinde.
- Müşterilerinize güncelleme dağıtan bir yazılım üreticisiyseniz ve güncellemenin sizden geldiğini kanıtlamanız gerektiğinde.
- Derleme sunucularınız birden fazla ekip tarafından paylaşıldığında ve kimin neyi değiştirebildiği bilinmediğinde.
Yöntem
Nasıl çalışıyoruz?
-
Akış
Kaynak koddan yayınlanan pakete kadar her adımı ve bu adımlara kimin müdahale edebildiğini belirleriz.
-
Hedef seviye
SLSA seviyelerine göre mevcut durumunuzu ve ürünleriniz için gerçekçi hedefi belirleriz.
-
İmza ve köken
Paketlerin imzalanmasını, köken kaydının oluşturulmasını ve anahtarların korunmasını tasarlarız.
-
Doğrulama
Dağıtım adımına, imzası ve kökeni doğrulanamayan paketi reddeden kontrol ekleriz.
Sonuç
Çalışmanın sonunda elinizde olan
Yayınladığınız her paketin hangi kaynaktan ve hangi derlemeden geldiği imzalı kayıtlarla gösterilebilir. Doğrulanamayan bir paket dağıtım aşamasında durdurulur.
Sık sorulan sorular
Kod imzalama sertifikamız var. Bu yeterli değil mi?
İmza, paketin sizin anahtarınızla imzalandığını gösterir. Derleme sırasında eklenen kod da aynı anahtarla imzalanabilir. Köken kaydı ve yalıtılmış derleme ortamı bu boşluğu kapatır.
Tekrarlanabilir derleme (reproducible build) şart mı?
Şart değildir ve her dilde kolay değildir. Kritik bileşenlerde, bağımsız bir derlemenin aynı çıktıyı verdiğini göstererek ek güvence sağlar.
SLSA bir sertifika mı?
Hayır. SLSA, yazılım tedarik zinciri kontrollerini seviyelere ayıran açık bir çerçevedir. Hangi seviyeyi karşıladığınızı kayıtlarla gösterebilirsiniz.
DevSecOps ve Yazılım Tedarik Zinciri
Bu alandaki diğer hizmetler
Bu hizmet için görüşelim.
İhtiyacınızı kısaca anlatın. Kapsamı ve takvimi ilk görüşmede birlikte netleştirelim.
Görüşme Planlayın