Yazılım tedarik zinciri güvenliği: imza, köken ve SLSA
Kaynaktan dağıtıma her halkayı tehdit gözüyle inceler, imajları cosign ile imzalar, köken bilgisi üretir ve yalnızca doğrulanmış yapıtları kabul eden bir zincir kurarsın.
Seviye 401 · 17 ders · 15 pratik lab
Dersler
Tehdit haritası
- Tedarik zinciri saldırıları: kaynak, derleme, paket, dağıtım
- Gerçek olaylardan dersler: derleme sunucusu ve paket ele geçirmeleri
- Benzer adlı paketler ve bağımlılık karışıklığı
- Kısa görev: bir projenin tedarik zincirini çiz ve zayıf halkaları işaretle
İmzalamak
- cosign ile anahtarla imzalamak
- Anahtarsız imza ve şeffaflık kaydı
- Çekerken imzayı doğrulamak
- Paket imzaları: npm köken bilgisi ve PyPI güvenilir yayıncı
- Kısa görev: bir imajı imzala, kurcala ve doğrulamanın başarısız olduğunu gör
Köken ve SLSA
- SLSA düzeyleri: neyi garanti ederler
- Köken bilgisi ve tasdikler
- in-toto ile adımlar zincirini doğrulamak
- Tekrarlanabilir derleme
- Kısa görev: derleme hattına köken tasdiki ekle
Kabul politikası
- Özel paket aynası ve izinli kaynaklar
- Yalnızca imzalı ve kökeni belli yapıtı dağıtmak
- Bitirme görevi: bir uygulamayı uçtan uca doğrulanabilir zincire taşı
Pratik lablar
- Tedarik zinciri saldırılarını aşamalarına yerleştir: Sekiz örnek olayı kaynak, derleme, paket ve dağıtım aşamalarına dağıt.
- Bir projenin tedarik zincirini çiz ve zayıf halkaları işaretle: Koddan üretime giden her adımı, kullanılan dış kaynağı ve doğrulama yapılmayan üç noktayı göster.
- Benzer adlı paket ve bağımlılık karışıklığı riskini denetle: Projenin iç paket adlarının genel depoda alınabilir olup olmadığını lab aynasında kontrol et, kaynak önceliğini sabitle ve yazım hatasına açık adları listele.
- cosign ile bir imajı anahtarla imzala: Anahtar çifti üret, yerel kayıt defterindeki imajı imzala ve imzayı doğrula.
- İmzalı imajı değiştir ve doğrulamanın başarısız olduğunu gör: İmajı yeniden oluşturup aynı etikete it, doğrulamanın neden başarısız olduğunu özet değerleriyle açıkla.
- Anahtarsız imzayı ve şeffaflık kaydını doğrula: Lab imzalama servisiyle kimliğe bağlı imza at, şeffaflık kaydındaki girişi bul ve yalnızca beklenen kimliği kabul eden doğrulamayı yaz.
- SLSA düzeylerini güvencelerle eşle: Altı güvence cümlesini doğru SLSA düzeyine yerleştir.
- Derleme hattına köken tasdiki ekle: Hattın imajla birlikte kaynak commit’i ve derleyiciyi kaydeden bir tasdik üretip imzalamasını sağla ve doğrula.
- in-toto ile adım zincirini doğrula ve tekrarlanabilir derlemeyi sına: Yerleşim dosyasında adımları ve yetkili anahtarları tanımla, atlanan adımın doğrulamada yakalandığını göster ve iki derlemenin özetini karşılaştır.
- Paket deposu kaynaklarını yapılandırmadan oku: pip ve npm yapılandırmasında hangi depoların ve hangi sırayla kullanıldığını yaz.
- Özel paket aynası kur ve izinli kaynakları sınırla: Derlemeyi yalnızca lab aynasından paket çekecek şekilde ayarla ve aynada olmayan paketin kurulamadığını göster.
- Paket köken bilgisini kurulumdan önce doğrula: Yayın hattından gelen köken tasdikini ve özetleri denetleyen bir kurulum adımı yaz, elle yüklenmiş paketin reddedildiğini göster.
- Dağıtımdan önce imza doğrulama komutunu çalıştır: İmzalı ve imzasız iki imajı doğrula ve sonuçları karşılaştır.
- Yalnızca imzalı yapıtları dağıtan adımı yaz: Dağıtım betiğine imza ve köken denetimi ekle, başarısızlıkta dağıtımı durdur.
- Bir uygulamayı uçtan uca doğrulanabilir zincire taşı: Sabitlenmiş kaynaklar, imzalı imaj, köken tasdiki ve dağıtımda doğrulama ile zinciri kur ve araya sokulan sahte yapıtın reddedildiğini göster.
Kurs hakkında
Kaynaktan dağıtıma her halkayı tehdit gözüyle inceler, imajları cosign ile imzalar, köken bilgisi üretir ve yalnızca doğrulanmış yapıtları kabul eden bir zincir kurarsın.
Ne öğreneceksin
- Tehdit haritası
- İmzalamak
- Köken ve SLSA
- Kabul politikası
Ön koşullar
Aynı yolun 301 düzeyine kadar olan konularını uygulamış olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde ve ona bağlı özel bir lab ağında geçer. Kurulum gerekmez.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 401 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.