谷歌和GitHub 联手提出新方法，提振软件供应链安全

最新推荐文章于 2023-02-08 17:51:02 发布
最新推荐文章于 2023-02-08 17:51:02 发布
阅读量264 收藏
点赞数
文章标签： java 安全 linux 大数据 github
原文链接：https://mp.weixin.qq.com/s?__biz=MzI2NTg4OTc5Nw==&mid=2247511288&idx=1&sn=95ab4b2da101f01d766a05e120771c14&chksm=ea949d92dde314840f1ff2ae210cb525b81b8a51ea5041663de91c626b3fc40c09a8c586fb6b&scene=126&&sessionid=0
版权

0ee9445456f988e5f22906cfbbfc5eb2.gif 聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士团队

2021d9870c47bb43300eb3445bb5f5e6.png

专栏·供应链安全

数字化时代，软件无处不在。软件如同社会中的“虚拟人”，已经成为支撑社会正常运转的最基本元素之一，软件的安全性问题也正在成为当今社会的根本性、基础性问题。

随着软件产业的快速发展，软件供应链也越发复杂多元，复杂的软件供应链会引入一系列的安全问题，导致信息系统的整体安全防护难度越来越大。近年来，针对软件供应链的安全攻击事件一直呈快速增长态势，造成的危害也越来越严重。

为此，我们推出“供应链安全”栏目。本栏目汇聚供应链安全资讯，分析供应链安全风险，提供缓解建议，为供应链安全保驾护航。

注：以往发布的部分供应链安全相关内容，请见文末“推荐阅读”部分。

5a9d7e3d0c43077d325d3abc6a340ba2.png

0dc4ed8fbf024ccb82b92956a633ee02.png

谷歌联手 GitHub 提出新的解决方案，解决像影响 SolarWinds 和 Codecov 等软件供应链攻击。

6f3c73d808ed38f7553eb3bc7ffe707d.png

谷歌的开源安全团队解释称，在 SolarWinds 攻击中，黑客获取对 build 服务器的控制并将恶意工件注入 build 平台。在Codecov 攻击中，攻击者绕过可信构建器上传其工件。

谷歌解释称，“如果能够检测出所交付的偏离软件预期来源的工件，那么所有这些攻击本可避免。但直到今天，仍然难以生成描述软件工件在哪里、何时以及如何生成的可验证信息（即来源信息）。这一信息可使用户追溯工件来源并形成基于风险的策略。”

现在，谷歌和GitHub 提出一种生成“不可伪造的来源”的新方法，使用GitHub Actions 工作流进行隔离以及 Sigstore 签名工具进行认证。如此，帮助构建于 GitHub runners 上的项目实现较高的SLSA 级别，确保客户的工件是可信且真实的。SLSA（软件工件的供应链级别）框架旨在通过赋能用户将软件最终版本追溯到源代码的方式，改进项目的完整性。而这一新方法的目标是实现SLSA 第3级别（共4个级别）。

本周四，谷歌发布文章说明了“build来源”，聚焦于执行发布流程的实体以及build 工件是否可防御恶意修改。谷歌将于不久之后发布聚焦于“源之来源”，说明源代码如何得到保护。GitHub 在本周四也发布相关博客文章。

对于build 来源，两家公司已创建两款原型工具：一个用于生成无法伪造的build 来源，一个用于验证工件及其签名的来源。目前，仅支持通过Go语言创建的应用程序，不过后续将扩展至其它语言。

两家公司提供了该流程的详细说明。

谷歌表示，“使用SLSA框架是确保大规模供应链完整性的行之有效的方法。这一原型表明，得益于流行CI/CD系统和开源工具的最新特性，实现较高的SLSA级别比之前都要容易。不断提升的防篡改 (SLSA 3+级别) build 服务采用率将保证更强劲的开源生态系统，并有助于缩短当前供应链中易被利用的差距。”

几周后，该项目的首个版本将发布。同时，谷歌和GitHub 鼓励感兴趣的用户进行测试并分享反馈。

代码卫士试用地址：https://codesafe.qianxin.com/

开源卫士试用地址：https://oss.qianxin.com

b325eda1d273b71ff7b3544b42ba3cf2.png

推荐阅读

在线阅读版：《2021中国软件供应链安全分析报告》全文

PHP包管理器PEAR 中爆多个缺陷可发动供应链攻击，已潜伏15年

FIN7 正在转向密码重置和软件供应链攻击

从主流安全开发框架看软件供应链安全保障的落地

速修复！这个严重的Zlib内存损坏漏洞已存在17年！

攻击者“完全自动化”发动NPM供应链攻击

Pwn2Own大赛回顾：利用开源服务中的严重漏洞，攻陷西部数据My Cloud PR4100

Node-ipc 热门包作者投毒“社死‘’，谁来保护开源软件供应链安全？

因供应商遭不明网络攻击，丰田汽车宣布停产

Linux Netfilter 防火墙模块爆新漏洞，攻击者可获取root权限

丰田汽车顶级供应商 Denso 疑遭勒索攻击，被威胁泄露商业机密

漏洞Dirty COW：影响Linux系统以及安卓设备

第三方支付处理厂商软件有漏洞，日本美容零售商Acro 10万支付卡信息遭攻击

Linux 内核 cgroups 新漏洞可导致攻击者逃逸容器

谷歌宣布 Linux Kernel、Kubernetes 0day 漏洞奖励加倍

Apache Cassandra 开源数据库软件修复高危RCE漏洞

2021年软件供应链攻击数量激增300%+

热门开源CMS平台 Umbraco 中存在多个安全漏洞，可使账户遭接管

详细分析开源软件项目 Ajax.NET Professional 中的RCE 漏洞（CVE-2021-23758）

SAP 严重漏洞可导致供应链攻击

Apache PLC4X开发者向企业下最后通牒：如不提供资助将停止支持

Apache 软件基金会：顶级项目仍使用老旧软件，补丁作用被削弱

美国商务部发布软件物料清单 (SBOM) 的最小元素（上）

美国商务部发布软件物料清单 (SBOM) 的最小元素（中）

美国商务部发布软件物料清单 (SBOM) 的最小元素（下）

NIST 发布关于使用“行政令-关键软件”的安全措施指南

NIST 按行政令关于加强软件供应链安全的要求，给出“关键软件”的定义及所含11类软件

SolarWinds 攻击者再次发动供应链攻击

美国“加强软件供应链安全实践的指南” (SSDF V1.1草案) 解读来了

软件供应链安全现状分析与对策建议

“木马源”攻击影响多数编程语言的编译器，将在软件供应链攻击中发挥巨大作用

GitHub 在 “tar” 和 npm CLI 中发现7个高危的代码执行漏洞

流行的 NPM 包依赖关系中存在远程代码执行缺陷

速修复！热门npm 库 netmask 被曝严重的软件供应链漏洞，已存在9年

Npm 恶意包试图窃取 Discord 敏感信息和浏览器文件

微软“照片”应用Raw 格式图像编码器漏洞 (CVE-2021-24091)的技术分析

SolarWinds 供应链事件后，美国考虑实施软件安全评级和标准机制

找到软件供应链的薄弱链条

GitHub谈软件供应链安全及其重要性

揭秘新的供应链攻击：一研究员靠它成功入侵微软、苹果等 35 家科技公司

开源软件漏洞安全风险分析

开源OS FreeBSD 中 ftpd chroot 本地提权漏洞 (CVE-2020-7468) 的技术分析

集结30+漏洞 exploit，Gitpaste-12 蠕虫影响 Linux 和开源组件等

限时赠书|《软件供应链安全—源代码缺陷实例剖析》新书上市

热门开源CI/CD解决方案 GoCD 中曝极严重漏洞，可被用于接管服务器并执行任意代码

GitKraken漏洞可用于盗取源代码，四大代码托管平台撤销SSH密钥

因服务器配置不当，热门直播平台 Twitch 的125GB 数据和源代码被泄露

彪马PUMA源代码被盗，称客户数据不受影响

原文链接

https://www.securityweek.com/google-teams-github-supply-chain-security

题图：Pixabay License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

1c04276ec764b1a5f1ab3265d742ac8e.png

ba1909a1f5ec1c3bc9e59598fd875f5e.png

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

   890b97f02a708ad1c12b9575b6a9cc37.gif 觉得不错，就点个 “在看” 或 "赞” 吧~

奇安信代码卫士
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
谷歌语法Github及利用方式
m0_48520508的博客
07-23 298
0x01简介 GoogleHack（谷歌语法）是指使用Google等搜索引擎对某些特定的网络主机漏洞（通常是服务器上的脚本漏洞）进行搜索，以达到快速找到漏洞主机或特定主机的漏洞的目的。比如使用搜索包含指定url：inurl:xxx，搜索包含指定标题：intitle:xxx。使用这种搜索方式通常可以避免大海捞针式的搜索目标，可以极大的缩小搜索范围，甚至直接定位到自己想要的目标。同样的技巧还有很多，常用的Github也可以实现。 0x02收集方式 1.Google语法 inurl:搜索输入字符是否存在于URL中
Google 与 GitHub 结盟，为保护软件供应链而战！
人工智能学家
04-17 307
出品：CSDN（ID：CSDNnews）整理：章雨铭 责编：屠敏4月7日，据谷歌透露，它一直在跟GitHub合作，创建一种防伪方法，用于签署源代码，解决像影响SolarWinds和Codecov等软件供应链攻击。谷歌开源软件供应链安全技术负责人Bob Callaway表示，这种方法的原型使用Go编程语言编写，它使用GitHub Actions工作流程生成不可伪...
刚刚GitHub 收购 npm，旨在提升开源软件供应链安全
smellycat000的专栏
03-17 296
聚焦源代码安全，网罗国内外最新资讯！编译：奇安信代码卫士团队刚刚，GitHub 在官网上宣布GitHub 已签署收购 npm 的协议。全文编译如下：我...
谷歌的这个开源项目霸榜 Github 第一，我服了！
code小生
09-01 289
点击上方“逆锋起笔”，公众号回复PDF领取大佬们推荐的学习资料来自：开源最前线（ID：OpenSourceTop） 编译地址：https://www.zdnet.com/article...
不止谷歌、亚马逊，腾讯也曾想收 GitHub！没想到吧……
程序员的那些事
06-06 586
（点击上方蓝字，快速关注我们）转自：腾讯科技tech.qq.com/a/20180606/018455.htm原标题：《GitHub本来是跟谷歌谈收购的，为何最终选择了微...
云原生软件供应链安全演进.pdf
10-12
为终端用户提供服务软件供应链安全软件开发编译测试分发部署库依赖软件上游仓库安全也是软件供应链中非常重要的组成，不光体现在对软件本身的安全增强，也体现在对供应链本身的安全增强云原生时代的软件供应链新制品...
github pull最新代码实现方法
01-20
github现在已经经常用了，但是经常遇到下面的问题 比如：从一个项目A中fork了一个分支B，并且在分支B有了改动。过了几天后，项目A中的代码应该会有很多人提交修改了，现在想将最新的代码pull到分支B。请问如何做呢？...
vue cli 3.x 项目部署到 github pages的方法
12-03
Vue CLI 3.x 项目部署至 GitHub Pages 是一个常见的任务，尤其对于开发个人博客或静态网页的开发者来说。GitHub Pages 是 GitHub 提供的一项免费服务，它允许用户托管静态网站。以下是一些关键步骤和注意事项： 1. ...
使用 Github Actions 和 Codecov 监控 C/C++ 仓库的代码覆盖率
记录学习的过程
04-22 2415
文章目录前言一、Github Actions二、使用 Lcov 获取代码覆盖率三、Github Actions 配置 Codecov总结参考 前言 我总是有强烈的欲望去追求更高代码质量，而代码覆盖率是衡量代码质量的指标之一，它意味着你编写的单元测试、回归测试是否有完整执行到所有代码行。 对于 C/C++ 这种需要 “小心翼翼” 的编程语言，内存泄漏、越界、野指针等问题防不胜防，这些问题也是破坏代码质量的重要元凶，提早发现并修正此类问题可以帮助我们提升代码质量。我喜欢使用 AddressSanitizer
抛弃Travis，Github Actions和Codecov整合教程
Bpazy的博客
10-08 1466
Codecov官方的actions使用了docker技术，这意味着我们需要生成Repository Upload Token，这样Github Actions运行的时候，才可以上传覆盖率报告。 生成Repository Upload Token 首先在codecov对应项目的设置里添加token，如下图所示： 在Github项目的设置中增加secrets 名称可以随意，我这里设置为COD...
codecov-action:GitHub动作将覆盖范围上传到Codecov
05-12
Codecov GitHub动作 从GitHub Actions轻松将覆盖率报告上传到Codecov 此Action的最新版本增加了对从GitHub Actions进行无令牌上传的支持！ 用法 要将Codecov与Actions管道集成在一起，请在workflow.yml .yml文件中的一个step ，为该存储库的名称指定标签号（建议使用@v1 ）。 如果您有私有存储库，则此操作还需要您从 （提示：为了避免暴露您的令牌，请将其存储为secret ）。 （可选）您可以选择包括最多四个其他输入以自定义上传上下文。 对于公共存储库，不需要令牌 在您的.github/workflows/workflow.yml文件中： steps : - uses : actions/checkout@master - uses : codecov/codecov-action@v1 with :
遭活跃利用的GoAnyWhere MFT 0day 补丁发布
smellycat000的专栏
02-08 931
聚焦源代码安全，网罗国内外最新资讯！编译：代码卫士最近爆出的GoAnyWhere 管理文件传输 (MFT) 软件的0day 补丁已发布。大约一周前有新闻报道称该漏洞已遭活跃利用，不过目前的攻击细节尚未披露。2月1日，Fortra（此前名称为HelpSystems）通知GoAnywhere MFT用户注意一个“远程代码注入利用0day”。之后该公司还发布了两份其它安全通知，每份通知都提供了缓解措施...
Github 集成 Codecov 做测试覆盖率
Bpazy的博客
01-16 3342
首先贴一下官网的快速开始 Getting Started Basic Usage Sign up on codecov.io and link either your GitHub, GitLab, or Bitbucket account. Once linked, Codecov will automatically sync all the repositories to which...
Github美化-Travis与Codecov入门
无名山丘，崛起成峰
05-22 4049
【开源项目利器】利用Travis持续集成与Codecov测试覆盖率构建自动化测试环境，提升Github项目逼格。 始于颜值，陷于才华 测试对于一个项目的重要性是不言而喻的，而小的开源项目往往难以配备专门的测试团队，频繁的push代码会使得本就缺乏人手的测试难上加难，因而构建自动化测试环境对于小型开源项目十分有必要！ 坦白说，我是一个先看脸的人，在不了解Travis和Codecov是做什么...
将单元测试覆盖率上传到 Codecov
啦啦啦啦 la
12-08 1997
将单元测试覆盖率上传到 Codecov 通过使用 Jacoco 生成单元测试覆盖率报告，并将该报告上传到 Codecov 配置 Jacoco 配置 build.gradle 文件(以 SpringBoot 应用为例) buildscript { ext { springBootVersion = '1.5.8.RELEASE' } repositories
GitHub 上受欢迎的 Android UI Library 整理（一）
weixin_34038652的博客
06-04 1591
抽屉菜单https://github.com/mikepenz/MaterialDrawer ★7337 - 安卓抽屉效果实现方案https://github.com/Yalantis/Side-Menu.Android ★3865 - 创意边侧菜单https://github.com/mxn21/FlowingDrawer ★1744 - 向右滑动流动抽屉效果https://github.com...
Android GitHub 常用开源框架汇总
LoveDou0816的博客
01-06 347
现在 GitHub 上流行的开源库极大地节省了开发者从 0 开发的时间，很多公司和个人都在 GitHub 上开源自己的项目，今天我们就来整理一下 Android 开发中一些非常流行的库，也是我们必须掌握的，这样可以使我们在使用到时快速的查找到，这里的总结基本也都是自己在开发中用到的，也就是一些个人的见解，只做参考，不具有权威性。 一、网络库 1. Retrofit Retrofit 是 Squar...
解决google打开Github慢的问题，亲测有效
qq_38699252的博客
08-12 3407
装了google浏览器以后，使用github就不香了。 试了常规的更改hosts文件，毛用没有。 最后都绝望了，看到一片博客，下载扩展包，直接对谷歌浏览器进行插件更新。 安装以后，重新启动，github快到飞起。下面是这个神奇博客，感谢楼主的分享。 https://blog.csdn.net/weixin_42048853/article/details/118314797 ...
Google 有哪些牛逼的开源项目？
公众号：逛逛GitHub
06-09 2331
本文盘点 Google 开源项目中 Star 最多的 6 个开源项目。@逛逛GitHub 历史还盘点过百度、阿里、腾讯等互联网大厂的开源成果，可以查看历史文章翻阅。本期推荐开源项目目录：1. 核心 Java 库2. 使用 Node.js 高效编写脚本3. 谷歌开源项目风格指南4. 高效的 KV 数据库5. Python Fire6. Gson01核心 Java 库Guav...
github上好的c++新手实践项目链接
最新发布
05-11
非常感谢您的提问。以下是一些适合C语言新手实践的GitHub项目链接： 1. Awesome C: 这是一个收集了许多C语言学习资源的GitHub仓库，其中包括一些适合新手实践的项目。 2. C Projects: 这是一个包含多个C语言项目的GitHub仓库，其中包括了一些简单的小项目，非常适合新手。 3. GitHub CLI: 这是一个命令行界面的GitHub客户端。这个项目涉及到了一些较为复杂的C语言编程概念，但是也适合一些有一定经验的C语言新手。 希望这些链接能够帮到您！

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值