Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
SLSA
О документе
Что это SLSA (Supply-chain Levels for Software Artifacts) — открытый фреймворк OpenSSF, задающий уровни зрелости защиты процесса сборки и происхождения артефактов (build provenance). Произносится «salsa». В отличие от SBOM, который отвечает на вопрос «из чего собрано», SLSA отвечает на вопрос «как и где собрано и можно ли этому доверять». Это уровневая модель, а не формат данных.
В редакции v1.0 ядро — трек Build с уровнями L0–L3: от отсутствия гарантий до полностью изолированной, неподделываемой сборки с подписанным provenance. Provenance при этом обычно выражается через формат in-toto attestation.
Ключевые требования
- Provenance существует (≥ Build L1). Сборка автоматически порождает машиночитаемое описание происхождения (что, чем и из каких исходников собрано).
- Provenance аутентичен (≥ Build L2). Происхождение генерируется доверенным build-сервисом и подписано, а не формируется разработчиком вручную.
- Изоляция сборки (Build L3). Сборка выполняется в изолированной среде, защищённой от вмешательства, исключающей подмену между источником и артефактом.
- Неподделываемость. Каждый уровень усиливает защиту от того, чтобы provenance можно было сфальсифицировать.
- Уровневое наращивание. Требования адресуются по трекам и уровням; цель — поднять конкретный артефакт до целевого уровня, а не «соответствовать SLSA» целиком.
Что считать evidence
Артефакты соответствия - Подписанный provenance-attestation (in-toto) на релизный артефакт — основной evidence. - Конфигурация CI, подтверждающая, что provenance генерируется самим build-сервисом (L2), а не вручную. - Описание изоляции сборочной среды и контроля доступа к pipeline (для L3). - Запись о проверке подписи provenance перед допуском артефакта в controlled repository.
Соответствие уровней Build их доказательной базе:
| Уровень Build | Что требуется | Подтверждающий артефакт |
|---|---|---|
| L1 | Provenance существует | Машиночитаемый provenance на артефакт |
| L2 | Provenance подписан build-сервисом | Подписанный provenance + конфигурация CI |
| L3 | Изолированная сборка | Описание изоляции среды, контроль доступа к pipeline |
Маппинг на практики и шаблоны
- Генерация и проверка provenance: П15. SLSA и in-toto provenance.
- Подпись артефактов: П14. Подпись SBOM через Sigstore.
- Допуск артефактов и pipeline-контроль: Требования к controlled repository, Требования к CI security gate.
- Контекст модуля: М08. Защита цепочки поставки и OSA. Смежный документ: in-toto.
Ограничение
Это учебная карточка Карточка пересказывает уровневую модель под курс и не воспроизводит официальную спецификацию. Точные требования по трекам и уровням Build L0–L3 для аудита сверять с актуальной редакцией SLSA и регламентами Организации.