CRACI e Chainguard

La risposta breve

Chainguard compila il software open source dai sorgenti e lo distribuisce rafforzato: immagini container minimali con poche o nessuna vulnerabilità nota, librerie dei linguaggi ricompilate, immagini VM e GitHub Actions rafforzate, ciascuna con una SBOM firmata e la provenance. Se il Suo problema è che le immagini base e i pacchetti da cui parte contengono troppe CVE, Chainguard lo affronta direttamente.

CRACI è un runner CI per GitHub Actions. I Suoi job girano su di esso e, mentre sono in esecuzione, registra ogni dipendenza esterna che scaricano e applica una policy di egress. Chainguard protegge gli input. CRACI protegge e registra la build. Le sovrapposizioni sono minime e i due si integrano in modo naturale.

In sintesi

Che cosa fa bene Chainguard

Chainguard Containers è, con le parole di Chainguard, un catalogo di immagini container zero-CVE compilate dai sorgenti. Ogni immagine include un'attestazione SBOM firmata in formato SPDX e un'attestazione di provenance SLSA 1.0 che descrive l'ambiente di build, il tutto verificabile con cosign. I clienti possono ottenere anche SBOM CycloneDX sulle build più recenti.

La policy sulle CVE è concreta. Per i clienti con un ordine, Chainguard si impegna a correggere le CVE critiche entro 7 giorni di calendario e quelle di gravità alta, media e bassa entro 14 giorni di calendario da quando una patch idonea diventa pubblicamente disponibile, per i version stream supportati delle sue immagini.

Chainguard Libraries applica lo stesso approccio ai pacchetti dei linguaggi. È un catalogo di dipendenze Java, Python e JavaScript ricompilate da sorgenti verificati invece che scaricate come artefatti precompilati, fornito come upstream per JFrog Artifactory, Sonatype Nexus Repository o Cloudsmith. Ogni pacchetto include firme Sigstore, una SBOM firmata e la provenance SLSA Level 3. Chainguard Actions offre versioni rafforzate di GitHub Actions diffuse, compilate dai sorgenti e scansionate di continuo, e Chainguard VMs applica lo stesso modello alle immagini di macchine virtuali.

CRACI non produce immagini né librerie rafforzate e non promette nulla sul numero di CVE di ciò che Lei scarica. Quello è il lavoro di Chainguard.

In che cosa CRACI è diverso

Osserva la Sua build, non quella di Chainguard

Le SBOM e la provenance di Chainguard descrivono gli artefatti di Chainguard, compilati nella fabbrica di Chainguard. La Sua build gira comunque da qualche parte e scarica più di un'immagine base: le Sue dipendenze, le toolchain, gli strumenti scaricati dagli script di installazione e qualsiasi cosa scarichi uno step del workflow. CRACI registra tutto questo. Un proxy che riconosce i pacchetti, sul runner, osserva il traffico verso le sorgenti dei pacchetti di npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk e sorgenti Git. Le evidenze viaggiano con le cache CI e ogni SBOM indica la propria completezza per job e per cache: Complete, Complete with connections, Incomplete, Unavailable o Not recorded.

Limita ciò che la build può raggiungere

Gli input rafforzati servono solo se la build li usa davvero. La policy di egress di CRACI prevede la negazione o l'autorizzazione predefinita, con 24 preset integrati di sorgenti software e sorgenti personalizzate tipizzate per i registry, compresi i registry OCI e Git. Le policy vengono convalidate prima dell'avvio del job e operano in modalità fail closed. Una policy che consente il Suo registry Chainguard e il Suo repository di artefatti, e poco altro, trasforma "usiamo Chainguard" da una convenzione in qualcosa che il runner fa rispettare.

Continua a monitorare ciò che ha rilasciato

L'API restituisce SBOM, tracce di rete e provenance. CRACI continua a rivalutare le SBOM monitorate per individuare nuove vulnerabilità. Le SBOM si esportano in CycloneDX o SPDX, vulnerabilità comprese.

Un inventario di che cosa è distribuito e dove

La vista inventario di CRACI mostra esattamente quali versioni del software sono distribuite in quali prodotti, a livello globale. Quando emerge una nuova vulnerabilità, Lei vede quali prodotti eseguono la versione interessata invece di ricostruirlo da note di rilascio e fogli di calcolo.

Usarli insieme

Una configurazione tipica:

• Chainguard fornisce le immagini base e, tramite il Suo repository di artefatti, le librerie ricompilate.
• CRACI esegue i job GitHub Actions che le usano per la build, con una policy di egress che consente le Sue sorgenti approvate, e registra ciò che ogni job ha scaricato.

OCI è tra gli ecosistemi che CRACI rileva, e CRACI funziona con i mirror npm e PyPI di JFrog Artifactory, quindi le immagini e i pacchetti Python o JavaScript che arrivano per questa via fanno parte della registrazione della build. Il supporto a Maven, che copre Chainguard Libraries per Java, è in roadmap.

Quale scegliere

• Gli scanner continuano a segnalare CVE nelle Sue immagini base: Chainguard sostituisce quelle immagini con versioni rafforzate.
• Le servono evidenze di ciò che è entrato in ogni release: CRACI le registra dalla build.
• Vuole build che possano raggiungere solo sorgenti approvate: la policy di egress di CRACI lo impone sul runner.
• Vuole sia input puliti sia una build registrata: li usi insieme, come sopra.

Per il Cyber Resilience Act

Partire da componenti con poche vulnerabilità note, uno SLA di correzione documentato e SBOM firmate facilita la gestione delle vulnerabilità di un fabbricante. Chainguard aiuta in questo. CRACI automatizza una parte significativa della visibilità e delle evidenze sulla software supply chain di cui le aziende hanno bisogno per il loro più ampio processo di conformità al CRA: che cosa è entrato in ogni release e il monitoraggio continuo delle vulnerabilità. Nessuno dei due rende conforme un prodotto da solo. Veda che cos'è il CRA e la conformità al CRA.

Aggiungere CRACI a una configurazione Chainguard

Installi la GitHub App di CRACI, poi cambi runs-on in craci nei workflow che vuole registrare. I Suoi Dockerfile e la configurazione dei pacchetti restano invariati. Oggi CRACI supporta GitHub Actions; GitLab CI, Jenkins e altri sistemi CI sono in roadmap. Scopra di più sulla generazione di SBOM in fase di build e sull'integrazione CI/CD.