Ref: https://security.googleblog.com/2021/06/introducing-slsa-end-to-end-framework.html
今天要探討的是一個由 Google Blog 於上個月所推廣的軟體安全性框架,該框架名為 SLSA,全名則是 Supply Chain Levels for Software Artifacts,中文部分我不知道該怎麼翻譯才可以精準達到意思,所以建議就唸英文就好了。
該框架的目的是希望於整個軟體生產鏈中能夠進一步的去提升且確保所有產物的完整性(Integrity 這個詞該怎麼翻呢..)。
文章中用了一個很簡易的流程來清楚的解釋到底何謂 Software Supply Chain 以及整個流程中可能會有什麼問題。
Software Supply Chain 一個範例譬如
1. 開發者撰寫程式碼,並且提交到遠方的 SCM Repository
2. SCM Repo 因為程式碼改變,所以觸發相關的 CI/CD 流程
3. CI/CD 建置結束後則需要打包整個程式碼,產生最後的 Package.
4. 產生後的 Packet 則可以正式上場使用
文章認為上述的流程中有兩個不同類別的安全性問題,分別是
1. Source Integrity
2. Build Integrity.
Source Integrity 這邊主要是針對 Source Code 相關的問題,譬如
1. 開發者是否有意的故意塞入一些會不懷好意的程式碼到 SCM Repo 內。
範例: Linux Hypocrite commits, 之前美國某大學研究團隊基於研究嘗試上傳一些不太好的程式碼而影響的討論風波
2. SCM 的管理平台是否可能被惡意攻擊
範例: PHP 事件: 之前自架的 PHP Git Server 被攻擊者惡意攻擊並且塞入兩筆不懷好意的 Commit
而 Build Integrity 本身則是有更多不同的面向,譬如
1. SCM 觸發 CI/CD 過程是否有可能有問題
範例: Webmin 事件,攻擊者去修改團隊的建置系統去使用沒有被 SCM 所記錄的修改檔案。
2. CI/CD 建置系統本身被攻擊
範例: SolarWinds 事件,攻擊者攻破建置系統去安裝一些軟體來修改整的建置流程
3. CI/CD 建置過程中引用到錯誤的 Dependency
4. 攻擊者上傳一些惡意產物到應該只有 CI/CD 系統才可以存取的場所。
... 等
目前來說, SLSA 還處於非常早期階段,經由業界的共識來思考每個領域有什麼好的措施與指引來避免與偵測系統是否被攻破。其最終目標狀態是希望能夠根據環境自動產生出一套可整合到系統中的產物,並且最後可以給出 SLSA 憑證來給平台或是建置後的 Package。
對 SLSA 這個專案有興趣看看的請參考原始連結,內容不長但是頗有趣的
範例英文ref 在 tomato生活雜鋪 Facebook 的精選貼文
#tomato生活雜舖香港連線
🉐️
————ꫛꫀꪝ————
<4/20收單>H.KDC925純銀-《DC銀匠專屬訂製》訂製英文名純銀經典耳環(A/B/C,金,銀,玫)
✨此款為一對對 專屬打造。
✨外面價格NT:1280~1500。
✨訂製一個專屬的禮物 超有誠意的專屬款。
✨附H.K DC防塵袋。
✨老公老婆,寶貝的英文名《全場下殺最低價》。
✨●真的是不得不排單 訂製的款式。
✨●電鍍 白金,黃金,玫瑰金....(任選)
✨材質:925純銀 +厚電鍍三色,(延緩掉色),抗氧抗敏
✨附 【H.K DC Sterling Silver 珠寶防塵袋】
✨【不附絨布禮袋】【需要請至加購區】
✨尺寸:約1.4cm~2cm(看字長度)
✨材質:925純銀 +厚電鍍白金,黃金,保色玫瑰金(延緩掉色),抗氧抗敏
✨產地:香港
❤️❤️先選字型有abc三種 在來選顏色金銀玫+數量(要客制的英文字母)
🌟下單範例:A銀+1(Jessie)
下單請下[A金,A銀,A玫,B金,B銀,B玫,C金,C銀,C玫]
#提供捐款收據可享一次運費半價
◡̈°歡迎搜尋🔍IG:kuedith (tomato生活雜鋪)
✈️商品皆為香港直送非淘寶、廉價商品,如對商品有疑慮麻煩移駕專櫃門市購買
不回覆$不回覆$不回覆$請禮貌詢問感謝🙏
tomato生活雜舖多國連線社團
https://m.facebook.com/groups/1477460785723067?ref=share
我們有群組不想錯過訊息快加入我們!
僅限交易過買家!僅限交易過買家!僅限交易過買家!很重要,所以要說三次!
快加入我們👉line ID:tomato070708,加好友後記得跟我打招呼🙋才不會變幽靈人口👻
範例英文ref 在 別讓一姐不開心 Facebook 的最讚貼文
最近一姐超愛「 人類文化 」推出的這一款有長頸鹿🦒造型的『點點書📖』,每一本都有不同的主題,只要用手指頭☝️輕輕按壓,就可以產生超多元的互動學習,中文、英文、臺語、客家話;注音符號、英文字母、數字算數、時鐘時間⏰;故事、兒歌、晚安曲😪等應有盡有,難怪點點書1到3本已經在一年內賣出超過5萬本,真是太驚人了,
現在順勢推出了第4本:「 #用手指點一點寶寶愛說話」,主打孩子的語文能力,搭配21類生活詞語,高達180種詞語與語句。還有錄放功能比對發音,一姐常常一玩就是快半小時以上,可以讓孩子愛上學習說話認字,更可以培養孩子專注力、學習力等等非常推薦給大家!
「 小小人類」推出的點點書目前有四冊,主題分別是:
1️⃣❤️用手指點一點: #有聲認知書(紅色):總共有25個主題、368個生活常用單字、140題互動遊戲、總共有國語、英語跟閩南語三種語言,以及12首中英文兒歌。
2️⃣🧡用手指點一點:#會發聲的ㄅㄆㄇABC(藍色):注音符號、英文字母、認識數字、加減法、時鐘教學、九九乘法、對比關係、世界地圖,以及13首英文兒歌
3️⃣💛用手指點一點:#365晚安故事(紫色):96則故事+96題問答+6首古典音樂晚安曲,每則故事結束還會有小叮嚀
4️⃣💚用手指點一點:#寶寶愛說話(粉紅色):21種常用類型詞語,有國語、閩南語、客家語、英文,四種發音,還有語句範例跟錄音系統。
如果大家對於一姐爸分享的「人類文化」推出的『點點書系列』有興趣,可以到以下網站參考,另外一姐爸也有幫大家爭取到專屬的「 #8折」優惠,一定要從這個網址連接過去才有優惠喔!(可能部分商品除外)
8折優惠連結:https://www.littlehumanbooks.com?sl-ref=f0006s18
用手指點一點寶寶愛說話(點點書4)使用實況:
https://www.youtube.com/watch?v=kEZmCZYQLZ0
#別讓一姐不開心
#繪本推薦 #人類文化 #小小人類 #點點書 #點點書4 #讓孩子愛上說話
範例英文ref 在 reference letter工作證明sample-推薦/討論/評價在PTT、Dcard 的推薦與評價
離職證明書reference letter sample 在【辭職信Resignation Letter】格式、中英文範本、注意事項懶... 的相關結果. 緊記提及希望取得Reference Letter ... ... <看更多>
範例英文ref 在 reference letter工作證明sample-推薦/討論/評價在PTT、Dcard 的推薦與評價
離職證明書reference letter sample 在【辭職信Resignation Letter】格式、中英文範本、注意事項懶... 的相關結果. 緊記提及希望取得Reference Letter ... ... <看更多>
範例英文ref 在 [請益] 請問僅供參考的英文怎麼說啊? - 精華區Eng-Class 的推薦與評價
如題目
我會用 for demostration only
感覺好像台式英文XDD
謝謝
--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 115.30.69.233
... <看更多>