CRACI og Chainguard

Det korte svaret

Chainguard bygger programvare med åpen kildekode fra kildekoden og leverer den herdet: minimale container-images med få eller ingen kjente sårbarheter, språkbiblioteker bygget på nytt, VM-images og herdede GitHub Actions, hver med en signert SBOM og provenance. Hvis problemet ditt er at base-imagene og pakkene du starter fra, har for mange CVE-er, går Chainguard rett på det.

CRACI er en CI-runner for GitHub Actions. Jobbene dine kjører på den, og mens de kjører, registrerer den hver ekstern avhengighet de henter, og håndhever en egress-policy. Chainguard sikrer inputene. CRACI sikrer og registrerer bygget. Overlappingen er svært liten, og de to passer naturlig sammen.

Kort oppsummert

Hva Chainguard gjør bra

Chainguard Containers er, med Chainguards egne ord, en zero-CVE-katalog med container-images bygget fra kildekode. Hvert image leveres med en signert SBOM-attestasjon i SPDX-format og en SLSA 1.0-provenance-attestasjon som beskriver byggemiljøet, alt verifiserbart med cosign. Kunder kan også få CycloneDX-SBOM-er på nyere bygg.

CVE-policyen er konkret. For kunder med en bestilling forplikter Chainguard seg til å rette kritiske CVE-er innen 7 kalenderdager og høye, middels og lave CVE-er innen 14 kalenderdager etter at en kvalifiserende patch er blitt offentlig tilgjengelig, for de støttede versjonsstrømmene av imagene sine.

Chainguard Libraries bruker samme tilnærming på språkpakker. Det er en katalog med avhengigheter for Java, Python og JavaScript, bygget på nytt fra verifisert kildekode i stedet for lastet ned som ferdigbygde artefakter, og levert som en upstream til JFrog Artifactory, Sonatype Nexus Repository eller Cloudsmith. Hver pakke har Sigstore-signaturer, en signert SBOM og SLSA Level 3-provenance. Chainguard Actions tilbyr herdede versjoner av populære GitHub Actions, bygget fra kildekode og kontinuerlig skannet, og Chainguard VMs bruker modellen på images for virtuelle maskiner.

CRACI lager ikke herdede images eller biblioteker og lover ingenting om antall CVE-er i noe du henter. Det er Chainguards jobb.

Der CRACI er annerledes

Det følger bygget ditt, ikke Chainguards

SBOM-ene og provenance fra Chainguard beskriver Chainguards artefakter, bygget i Chainguards fabrikk. Bygget ditt kjører fortsatt et sted, og det henter inn mer enn et base-image: dine egne avhengigheter, verktøykjeder, verktøy hentet av installasjonsskript og alt et workflow-steg laster ned. Det registrerer CRACI. En pakkebevisst proxy på runneren observerer trafikken til pakkekildene, på tvers av npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git-kilder. Dokumentasjonen følger med CI-cacher, og hver SBOM angir fullstendigheten per jobb og per cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded.

Det begrenser hva bygget kan nå

Herdede inputer hjelper bare hvis bygget faktisk bruker dem. CRACIs egress-policy er default deny eller default allow, med 24 innebygde forhåndsinnstillinger for programvarekilder og typede egendefinerte kilder for registre, inkludert OCI-registre og Git. Policyer valideres før jobben starter, og blokkerer ved feil (fail closed). En policy som tillater Chainguard-registeret og artefaktrepositoriet ditt og lite annet, gjør «vi bruker Chainguard» om fra en konvensjon til noe runneren håndhever.

Det fortsetter å følge med på det du har levert

API-et returnerer SBOM-er, nettverksspor og provenance. CRACI fortsetter å vurdere overvåkede SBOM-er på nytt for nye sårbarheter. SBOM-er eksporteres som CycloneDX eller SPDX, sårbarheter inkludert.

En oversikt over hva som er utrullet hvor

Inventarvisningen i CRACI viser nøyaktig hvilke programvareversjoner som er rullet ut til hvilke produkter, globalt. Når en ny sårbarhet dukker opp, kan du se hvilke produkter som kjører den berørte versjonen, i stedet for å sette det sammen fra utgivelsesnotater og regneark.

Slik bruker du dem sammen

Et typisk oppsett:

• Chainguard leverer base-images og, gjennom artefaktrepositoriet ditt, biblioteker bygget på nytt.
• CRACI kjører GitHub Actions-jobbene som bygger på dem, med en egress-policy som tillater de godkjente kildene dine, og registrerer hva hver jobb hentet.

OCI er blant økosystemene CRACI oppdager, og CRACI fungerer med JFrog Artifactory-speil for npm og PyPI, så images og Python- eller JavaScript-pakker som kommer den veien, er en del av byggeregistreringen. Støtte for Maven, som dekker Chainguard Libraries for Java, står på veikartet.

Hvilken som passer

• Skannere flagger stadig CVE-er i base-imagene dine: Chainguard erstatter de imagene med herdede versjoner.
• Du trenger dokumentasjon på hva som gikk inn i hver utgivelse: CRACI registrerer det fra bygget.
• Du vil ha bygg som bare kan nå godkjente kilder: CRACIs egress-policy håndhever det på runneren.
• Du vil ha både rene inputer og et registrert bygg: Bruk dem sammen, som over.

For Cyber Resilience Act

Å starte fra komponenter med få kjente sårbarheter, en dokumentert SLA for retting og signerte SBOM-er gjør sårbarhetshåndteringen enklere for en produsent. Der hjelper Chainguard. CRACI automatiserer en betydelig del av innsynet i programvareleverandørkjeden og dokumentasjonen som bedrifter trenger for sin bredere CRA-samsvarsprosess: hva som gikk inn i hver utgivelse, og løpende sårbarhetssporing. Ingen av dem gjør et produkt samsvarende alene. Se hva CRA er og CRA-samsvar.

Legge CRACI til i et Chainguard-oppsett

Installer CRACI GitHub App, og endre deretter runs-on til craci i workflowene du vil ha registrert. Dockerfilene og pakkekonfigurasjonen din forblir som de er. CRACI støtter GitHub Actions i dag; GitLab CI, Jenkins og andre CI-systemer står på veikartet. Les mer om SBOM-generering under bygget og CI/CD-integrasjon.