CRACI a Chainguard

Stručná odpověď

Chainguard sestavuje open source software ze zdrojového kódu a dodává ho zabezpečený: minimální image kontejnerů s malým nebo nulovým počtem známých zranitelností, znovu sestavené knihovny programovacích jazyků, image VM a zabezpečené GitHub Actions, každé s podepsanou SBOM a údaji o původu. Pokud je vaším problémem to, že základní image a balíčky, ze kterých vycházíte, nesou příliš mnoho CVE, Chainguard míří přímo na něj.

CRACI je runner CI pro GitHub Actions. Vaše joby běží na něm a během běhu zaznamenává každou externí závislost, kterou stáhnou, a vynucuje egress policy. Chainguard zabezpečuje vstupy. CRACI zabezpečuje a zaznamenává build. Překrývají se jen velmi málo a přirozeně se doplňují.

Přehled

Co Chainguard dělá dobře

Chainguard Containers je podle slov Chainguardu katalog image kontejnerů bez CVE, sestavených ze zdrojového kódu. Každá image má podepsanou atestaci SBOM ve formátu SPDX a atestaci původu SLSA 1.0, která popisuje prostředí buildu, vše ověřitelné pomocí cosign. U novějších buildů mohou zákazníci získat i SBOM ve formátu CycloneDX.

Politika CVE je konkrétní. Zákazníkům s objednávkou se Chainguard zavazuje opravit kritické CVE do 7 kalendářních dnů a vysoké, střední a nízké CVE do 14 kalendářních dnů od chvíle, kdy je veřejně dostupná odpovídající záplata, a to pro podporované větve verzí svých image.

Chainguard Libraries uplatňuje stejný přístup na balíčky programovacích jazyků. Jde o katalog závislostí pro Javu, Python a JavaScript, znovu sestavených z ověřeného zdrojového kódu místo stahování předem sestavených artefaktů, dodávaný jako upstream do JFrog Artifactory, Sonatype Nexus Repository nebo Cloudsmith. Každý balíček nese podpisy Sigstore, podepsanou SBOM a údaje o původu SLSA Level 3. Chainguard Actions nabízí zabezpečené verze oblíbených GitHub Actions, sestavené ze zdrojového kódu a průběžně skenované, a Chainguard VMs uplatňuje stejný model na image virtuálních strojů.

CRACI nevytváří zabezpečené image ani knihovny a nic neslibuje o počtu CVE v čemkoli, co stahujete. To je práce Chainguardu.

V čem se CRACI liší

Sleduje váš build, ne build Chainguardu

SBOM a údaje o původu od Chainguardu popisují artefakty Chainguardu sestavené v jeho továrně. Váš build ale stále někde běží a stahuje víc než jen základní image: vaše vlastní závislosti, toolchainy, nástroje stažené instalačními skripty a cokoli, co stáhne některý krok workflow. CRACI to zaznamenává. Proxy na runneru, která rozumí balíčkům, sleduje provoz ke zdrojům balíčků npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk a Git. Důkazy putují spolu s cache CI a každá SBOM uvádí svou úplnost pro každý job a každou cache: Complete, Complete with connections, Incomplete, Unavailable nebo Not recorded.

Omezuje, kam se build dostane

Zabezpečené vstupy pomohou jen tehdy, když je build skutečně používá. Egress policy v CRACI je buď výchozí zákaz, nebo výchozí povolení, s 24 vestavěnými předvolbami softwarových zdrojů a typovanými vlastními zdroji pro registry, včetně registrů OCI a Gitu. Politiky se ověřují před spuštěním jobu a při selhání vše zablokují. Politika, která povoluje váš registr Chainguard a váš repozitář artefaktů a skoro nic dalšího, mění „používáme Chainguard“ z pouhé konvence na něco, co vynucuje runner.

Dál sleduje, co jste dodali

API vrací SBOM, síťové záznamy a údaje o původu. CRACI průběžně znovu vyhodnocuje monitorované SBOM kvůli novým zranitelnostem. SBOM se exportují ve formátu CycloneDX nebo SPDX včetně zranitelností.

Inventář toho, co je kde nasazeno

Inventář v CRACI přesně ukazuje, které verze softwaru jsou nasazeny ve kterých produktech, a to globálně. Když se objeví nová zranitelnost, vidíte, které produkty používají dotčenou verzi, a nemusíte to skládat z poznámek k vydání a tabulek.

Jak je používat společně

Typické nastavení:

• Chainguard dodává základní image a prostřednictvím vašeho repozitáře artefaktů i znovu sestavené knihovny.
• CRACI spouští joby GitHub Actions, které na nich staví, s egress policy, která povoluje vaše schválené zdroje, a zaznamenává, co si každý job stáhl.

OCI patří mezi ekosystémy, které CRACI rozpoznává, a CRACI funguje se zrcadly npm a PyPI v JFrog Artifactory, takže image a balíčky pro Python nebo JavaScript, které přicházejí touto cestou, jsou součástí záznamu buildu. Podpora Mavenu, která pokrývá Chainguard Libraries pro Javu, je v plánu vývoje.

Co se hodí pro vás

• Skenery stále hlásí CVE ve vašich základních image: Chainguard tyto image nahradí zabezpečenými.
• Potřebujete důkazy o tom, co vstoupilo do každého vydání: CRACI je zaznamená z buildu.
• Chcete buildy, které se dostanou jen ke schváleným zdrojům: egress policy v CRACI to vynucuje na runneru.
• Chcete čisté vstupy i zaznamenaný build: používejte oba společně, jak je popsáno výše.

Pro Cyber Resilience Act

Vycházet z komponent s malým počtem známých zranitelností, zdokumentovaným SLA na opravy a podepsanými SBOM výrobci usnadňuje řešení zranitelností. S tím pomáhá Chainguard. CRACI automatizuje významnou část přehledu o softwarovém dodavatelském řetězci a důkazů, které firmy potřebují pro svůj širší proces souladu s CRA: co vstoupilo do každého vydání a průběžné sledování zranitelností. Ani jeden z nich sám o sobě produkt do souladu neuvede. Viz co je CRA a soulad s CRA.

Jak přidat CRACI k Chainguardu

Nainstalujte aplikaci CRACI GitHub App a ve workflow, které chcete zaznamenávat, změňte runs-on na craci. Vaše Dockerfily a konfigurace balíčků zůstanou beze změny. CRACI dnes podporuje GitHub Actions; GitLab CI, Jenkins a další systémy CI jsou v plánu vývoje. Zjistěte více o generování SBOM během buildu a integraci CI/CD.