CRACI en Chainguard

Het korte antwoord

Chainguard bouwt opensourcesoftware vanaf de broncode en levert die gehard: minimale containerimages met weinig of geen bekende kwetsbaarheden, opnieuw gebouwde taalbibliotheken, VM-images en geharde GitHub Actions, elk met een ondertekende SBOM en herkomstgegevens. Bevatten de base images en pakketten waarmee u begint te veel CVE's, dan pakt Chainguard precies dat probleem aan.

CRACI is een CI-runner voor GitHub Actions. Uw jobs draaien erop, en terwijl ze draaien legt CRACI elke externe afhankelijkheid vast die ze ophalen en dwingt het een egressbeleid af. Chainguard beveiligt de inputs. CRACI beveiligt de build en legt die vast. De overlap is minimaal, en de twee vullen elkaar vanzelfsprekend aan.

In één oogopslag

Waar Chainguard sterk in is

Chainguard Containers is, in de woorden van Chainguard, een zero-CVE-catalogus van containerimages die vanaf de broncode worden gebouwd. Elk image wordt geleverd met een ondertekende SBOM-attestatie in SPDX-formaat en een SLSA 1.0-herkomstattestatie die de buildomgeving beschrijft, allemaal te verifiëren met cosign. Klanten kunnen bij nieuwere builds ook CycloneDX-SBOM's krijgen.

Het CVE-beleid is concreet. Voor klanten met een order zegt Chainguard toe kritieke CVE's binnen 7 kalenderdagen te verhelpen, en hoge, middelhoge en lage CVE's binnen 14 kalenderdagen nadat een geschikte patch publiek beschikbaar is, voor de ondersteunde versiestromen van zijn images.

Chainguard Libraries past dezelfde aanpak toe op taalpakketten. Het is een catalogus van Java-, Python- en JavaScript-afhankelijkheden die vanaf geverifieerde broncode opnieuw zijn gebouwd in plaats van als voorgecompileerde artefacten gedownload, geleverd als upstream voor JFrog Artifactory, Sonatype Nexus Repository of Cloudsmith. Elk pakket heeft Sigstore-handtekeningen, een ondertekende SBOM en SLSA Level 3-herkomst. Chainguard Actions biedt geharde versies van populaire GitHub Actions, gebouwd vanaf de broncode en continu gescand, en Chainguard VMs past het model toe op images voor virtuele machines.

CRACI maakt geen geharde images of bibliotheken en doet geen belofte over het aantal CVE's in wat u ophaalt. Dat is het werk van Chainguard.

Waarin CRACI verschilt

Het bewaakt uw build, niet die van Chainguard

De SBOM's en herkomstgegevens van Chainguard beschrijven de artefacten van Chainguard, gebouwd in de fabriek van Chainguard. Uw build draait nog steeds ergens, en die haalt meer binnen dan een base image: uw eigen afhankelijkheden, toolchains, tools die door installatiescripts worden opgehaald en alles wat een workflowstap downloadt. CRACI legt dat vast. Een proxy op de runner die pakketten herkent, observeert het verkeer naar pakketbronnen in npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk en Git-bronnen. Het bewijs reist mee met CI-caches, en elke SBOM vermeldt zijn volledigheid per job en per cache: Complete, Complete with connections, Incomplete, Unavailable of Not recorded.

Het beperkt wat de build kan bereiken

Geharde inputs helpen alleen als de build ze ook echt gebruikt. Het egressbeleid van CRACI is standaard weigeren of standaard toestaan, met 24 ingebouwde presets voor softwarebronnen en getypeerde eigen bronnen voor registries, waaronder OCI-registries en Git. Beleid wordt gevalideerd voordat de job start en is fail-closed. Een beleid dat uw Chainguard-registry en uw artefactrepository toestaat, en weinig anders, maakt van "we gebruiken Chainguard" geen afspraak meer maar iets wat de runner afdwingt.

Het blijft bewaken wat u hebt geleverd

De API levert SBOM's, netwerktraces en herkomstgegevens. CRACI blijft gemonitorde SBOM's opnieuw beoordelen op nieuwe kwetsbaarheden. SBOM's worden geëxporteerd als CycloneDX of SPDX, inclusief kwetsbaarheden.

Een inventaris van wat waar is uitgerold

De inventarisweergave van CRACI toont precies welke softwareversies in welke producten zijn uitgerold, wereldwijd. Wordt er een nieuwe kwetsbaarheid bekend, dan ziet u welke producten de getroffen versie draaien, in plaats van het bij elkaar te zoeken uit release notes en spreadsheets.

Samen gebruiken

Een typische opzet:

• Chainguard levert base images en, via uw artefactrepository, opnieuw gebouwde bibliotheken.
• CRACI draait de GitHub Actions-jobs die erop bouwen, met een egressbeleid dat uw goedgekeurde bronnen toestaat, en legt vast wat elke job heeft opgehaald.

OCI is een van de ecosystemen die CRACI herkent, en CRACI werkt met JFrog Artifactory-mirrors voor npm en PyPI, dus images en Python- of JavaScript-pakketten die zo binnenkomen, maken deel uit van de vastlegging van de build. Ondersteuning voor Maven, die Chainguard Libraries voor Java omvat, staat op de roadmap.

Wat past bij u

• Scanners blijven CVE's in uw base images melden: Chainguard vervangt die images door geharde versies.
• U hebt bewijs nodig van wat er in elke release zit: CRACI legt het vast vanuit de build.
• U wilt builds die alleen goedgekeurde bronnen kunnen bereiken: het egressbeleid van CRACI dwingt dat af op de runner.
• U wilt zowel schone inputs als een vastgelegde build: gebruik ze samen, zoals hierboven.

Voor de Cyber Resilience Act

Beginnen met componenten met weinig bekende kwetsbaarheden, een gedocumenteerde SLA voor herstel en ondertekende SBOM's maakt de kwetsbaarheidsafhandeling van een fabrikant eenvoudiger. Daar helpt Chainguard. CRACI automatiseert een aanzienlijk deel van het inzicht in de softwareketen en het bewijs dat bedrijven nodig hebben voor hun bredere CRA-nalevingsproces: wat er in elke release zit en het doorlopend volgen van kwetsbaarheden. Geen van beide maakt een product op zichzelf compliant. Lees wat de CRA is en CRA-compliance.

CRACI toevoegen aan een Chainguard-opzet

Installeer de CRACI GitHub App en wijzig daarna runs-on in craci in de workflows die u wilt laten vastleggen. Uw Dockerfiles en pakketconfiguratie blijven zoals ze zijn. CRACI ondersteunt vandaag GitHub Actions; GitLab CI, Jenkins en andere CI-systemen staan op de roadmap. Lees meer over SBOM-generatie tijdens de build en CI/CD-integratie.