CRACI y Chainguard

La respuesta corta

Chainguard compila software de código abierto desde el código fuente y lo distribuye reforzado: imágenes de contenedor mínimas con pocas o ninguna vulnerabilidad conocida, bibliotecas de lenguajes recompiladas, imágenes de VM y GitHub Actions reforzadas, cada una con una SBOM firmada y procedencia. Si su problema es que las imágenes base y los paquetes de los que parte arrastran demasiadas CVE, Chainguard va directamente a por él.

CRACI es un runner de CI para GitHub Actions. Sus jobs se ejecutan en él y, mientras se ejecutan, registra cada dependencia externa que descargan y aplica una política de egress. Chainguard protege las entradas. CRACI protege y registra el build. Se solapan muy poco y encajan de forma natural.

De un vistazo

Lo que Chainguard hace bien

Chainguard Containers es, en palabras de Chainguard, un catálogo de imágenes de contenedor sin CVE compiladas desde el código fuente. Cada imagen incluye una atestación de SBOM firmada en formato SPDX y una atestación de procedencia SLSA 1.0 que describe el entorno de build, todo ello verificable con cosign. Los clientes también pueden obtener SBOM CycloneDX en los builds más recientes.

La política de CVE es concreta. Para los clientes con un pedido, Chainguard se compromete a corregir las CVE críticas en un plazo de 7 días naturales y las CVE altas, medias y bajas en un plazo de 14 días naturales desde que un parche válido pasa a estar disponible públicamente, para las versiones con soporte de sus imágenes.

Chainguard Libraries aplica el mismo enfoque a los paquetes de lenguajes. Es un catálogo de dependencias de Java, Python y JavaScript recompiladas desde código fuente verificado en lugar de descargadas como artefactos precompilados, que se sirve como upstream de JFrog Artifactory, Sonatype Nexus Repository o Cloudsmith. Cada paquete lleva firmas de Sigstore, una SBOM firmada y procedencia SLSA Level 3. Chainguard Actions ofrece versiones reforzadas de GitHub Actions populares, compiladas desde el código fuente y escaneadas de forma continua, y Chainguard VMs aplica el modelo a las imágenes de máquinas virtuales.

CRACI no produce imágenes ni bibliotecas reforzadas y no promete nada sobre el número de CVE de lo que usted descargue. Ese es el trabajo de Chainguard.

En qué se diferencia CRACI

Observa su build, no el de Chainguard

Las SBOM y la procedencia de Chainguard describen los artefactos de Chainguard, compilados en la fábrica de Chainguard. Su build sigue ejecutándose en algún sitio y descarga más que una imagen base: sus propias dependencias, toolchains, herramientas que descargan los scripts de instalación y todo lo que descargue un paso del workflow. CRACI registra todo eso. Un proxy que entiende de paquetes en el runner observa el tráfico hacia las fuentes de paquetes npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk y Git. La evidencia viaja con las cachés de CI y cada SBOM indica su completitud por job y por caché: Complete, Complete with connections, Incomplete, Unavailable o Not recorded.

Limita a qué puede acceder el build

Las entradas reforzadas solo ayudan si el build las utiliza de verdad. La política de egress de CRACI es de denegación por defecto o de permiso por defecto, con 24 presets de fuentes de software integrados y fuentes personalizadas tipadas para registros, incluidos los registros OCI y Git. Las políticas se validan antes de que empiece el job y, si fallan, bloquean. Una política que permite su registro de Chainguard y su repositorio de artefactos, y poco más, convierte «usamos Chainguard» de una convención en algo que el runner hace cumplir.

Sigue vigilando lo que usted ha publicado

La API devuelve SBOM, trazas de red y procedencia. CRACI sigue reevaluando las SBOM monitorizadas en busca de nuevas vulnerabilidades. Las SBOM se exportan en CycloneDX o SPDX, vulnerabilidades incluidas.

Un inventario de qué está desplegado y dónde

La vista de inventario de CRACI muestra exactamente qué versiones de software están desplegadas en qué productos, a escala global. Cuando aparece una nueva vulnerabilidad, puede ver qué productos ejecutan la versión afectada en lugar de reconstruirlo a partir de notas de versión y hojas de cálculo.

Usarlos juntos

Una configuración típica:

• Chainguard suministra las imágenes base y, a través del repositorio de artefactos que usted utilice, las bibliotecas recompiladas.
• CRACI ejecuta los jobs de GitHub Actions que compilan sobre ellas, con una política de egress que permite sus fuentes aprobadas, y registra lo que descargó cada job.

OCI es uno de los ecosistemas que detecta CRACI, y CRACI funciona con los mirrors de JFrog Artifactory para npm y PyPI, de modo que las imágenes y los paquetes de Python o JavaScript que llegan por esa vía forman parte del registro del build. La compatibilidad con Maven, que cubre Chainguard Libraries para Java, está en la hoja de ruta.

Cuál le conviene

• Los escáneres no dejan de señalar CVE en sus imágenes base: Chainguard sustituye esas imágenes por otras reforzadas.
• Necesita evidencia de lo que entró en cada lanzamiento: CRACI la registra a partir del build.
• Quiere builds que solo puedan acceder a fuentes aprobadas: la política de egress de CRACI lo impone en el runner.
• Quiere tanto entradas limpias como un build registrado: úselos juntos, como se describe arriba.

Para el Cyber Resilience Act

Partir de componentes con pocas vulnerabilidades conocidas, un SLA de corrección documentado y SBOM firmadas facilita la gestión de vulnerabilidades de un fabricante. Chainguard ayuda en eso. CRACI automatiza una parte importante de la visibilidad y la evidencia de la cadena de suministro de software que las empresas necesitan para su proceso más amplio de cumplimiento del CRA: qué entró en cada lanzamiento y el seguimiento continuo de vulnerabilidades. Ninguno de los dos hace que un producto cumpla por sí solo. Consulte qué es el CRA y el cumplimiento del CRA.

Añadir CRACI a una configuración con Chainguard

Instale la GitHub App de CRACI y cambie runs-on a craci en los workflows que quiera registrar. Sus Dockerfiles y su configuración de paquetes no cambian. CRACI es compatible hoy con GitHub Actions; GitLab CI, Jenkins y otros sistemas de CI están en la hoja de ruta. Más información sobre la generación de SBOM durante el build y la integración con CI/CD.