0 
0 As organizações que hospedam partes significativas da cadeia de suprimentos de software de código aberto continuam adotando medidas de segurança que fornecem aos desenvolvedores e mantenedores mais ferramentas para proteger seus projetos contra ataques e commits de código malicioso.
Na segunda-feira, o GitHub anunciou que a empresa – que possui e mantém o serviço Node Package Manager (npm) – pediu aos desenvolvedores que comentassem sobre um plano para adotar o sigstore, que simplifica a assinatura de componentes de código produzidos por projetos, bem como vinculá-los de volta ao código-fonte. O projeto sigstore facilitou a assinatura digital do código-fonte porque os mantenedores individuais não precisam mais gerenciar sua própria infraestrutura criptográfica.
O serviço de tecnologia permite que os desenvolvedores de software confirmem qual código foi usado para gerar um determinado aplicativo ou componente de software, diz Brian Behlendorf, gerente geral da Open Source Security Foundation (OpenSSF), que mantém sigstore com a Linux Foundation.
“A montagem de componentes em plataformas de software e aplicativos – tudo isso foi feito com o mesmo tipo de segurança que tínhamos na Internet antes do TLS [Transport Layer Security], francamente”, diz ele. “Nós dependíamos de um alto grau de confiança não necessariamente equivocado, mas alto, de que a infraestrutura apenas fazia as coisas por nós ou que não havia maus atores por aí.”
A proposta é o mais recente esforço para disponibilizar ferramentas aos desenvolvedores para proteger a cadeia de fornecimento de software. O npm do GitHub, o Python Package Index (PyPI) e outros já pediram aos desenvolvedores que adotem a autenticação de dois fatores (2FA) para proteger suas contas e evitar um comprometimento por meio de um simples ataque baseado em credenciais. O GitHub, por exemplo, já moveu os 500 projetos npm mais populares para 2FA e planeja exigir a tecnologia de segurança para qualquer projeto com mais de um milhão de downloads por semana .
Adotar a assinatura digital de pacotes de software é outra etapa crítica. Em março, a empresa de segurança de software Sonatype anunciou que tinha “toda a intenção de adotar o sigstore como parte da plataforma Maven Central”. Maven é a fonte mais popular de componentes de software Java e é mantido pela Sonatype. O PyPI possui uma especificação chamada The Update Framework (TUF) que exige assinatura digital de pacotes de software , e o repositório possui um módulo sigstore em desenvolvimento .
A capacidade de atestar que um programa ou executável veio de um determinado repositório de código-fonte é um passo importante para proteger a cadeia de suprimentos de software, escreveu Justin Hutchings, diretor de gerenciamento de projetos dos recursos de segurança do GitHub, na postagem do blog.
“Quando os mantenedores de pacotes optam por este sistema, os consumidores de seus pacotes podem ter mais confiança de que o conteúdo do pacote corresponde ao conteúdo do repositório vinculado”, disse Hutchings. “Historicamente, vincular pacotes de volta ao código-fonte tem sido difícil porque exigia que projetos individuais registrassem e gerenciassem suas próprias chaves criptográficas”.
O GitHub adquiriu o Node Package Manager (npm) em 2020.
SBOMs e “Salsa”
A capacidade de assinar código é fundamental para a segurança da cadeia de suprimentos. Por exemplo, uma lista de materiais de software (SBOM) é uma forma de comunicar aos desenvolvedores e ferramentas de segurança os componentes que compõem um projeto de software. Determinar quais componentes de software e bibliotecas são usados em projetos de software modernos nem sempre é simples. O governo dos EUA já criou requisitos de que qualquer software vendido a uma agência federal precisa ter um SBOM, mas apenas um terço das empresas atualmente usa SBOMs .
Outra iniciativa, os Níveis de Cadeia de Suprimentos para Artefatos de Software (SLSA), pronuncia-se “salsa”, fornece aos desenvolvedores e gerentes de segurança de aplicativos um roteiro para proteger projetos de software e comunicar a proveniência do software.
“Você precisa ter integridade e entender a qualidade – SLSA é realmente em torno dessa parte da integridade”, diz Kim Lewandowski, um dos criadores originais do SLSA e cofundador da Chainguard, uma empresa de segurança de software. “Um desenvolvedor sabe que está recebendo esse software que é construído em torno dessas dependências e esses são os artefatos [de software] que entraram nele.”
O Sigstore funciona porque a tecnologia torna a assinatura do código muito mais fácil para os desenvolvedores. Behlendorf, da OpenSSF, compara a plataforma ao serviço Let’s Encrypt, que torna as chaves para proteger sites disponíveis gratuitamente e fáceis de implantar. Tornar qualquer tecnologia de segurança fácil de usar é fundamental, diz ele.
“A maior segurança em software de código aberto virá, não apenas ajudando as pessoas a escrever códigos melhores”, diz ele. “Não virá apenas de muitas pessoas encontrando zero-days e corrigindo-as e corrigindo-as. Vai vir de ter ferramentas que tornarão a segurança melhor em toda a cadeia de suprimentos um ‘elevador zero’ para desenvolvedores. Se eles ainda precisam ter um sinalizador de recurso ativado, isso é demais.”
FONTE: DARK READING