ref: https://blog.sigstore.dev/verify-oci-container-image-signatures-in-kubernetes-33663a9ec7d8
本篇文章要探討的也是跟 security 有關的一個概念,一樣也是基於 Software Supple Chain 這個概念去探討到底環境中用到的相關軟體是否都是安全且被信任的。
本文章分享的是一個基於 Kubernetes Admission Controller 實作的解決方案 Connaisseur,該解決方案的概念很簡單
1. 透過 Admission Controller 去監聽系統上所有 Container 的部署請求
2. 如果部署的 Container Image 是符合事先設定規則的,則允予通過
3. 如果不符合,該次部署就直接失敗
所謂的規則比較簡易的說法就是簽章,只有包含了可信賴簽章的 Container Image 才會被 Connaisseur 給允許通過
有了這個基本概念之後,下一個問題則是到底什麼是可信賴簽章?以及要如何讓想要使用的 Container Image 獲得一個可信賴的簽章?
文章內介紹了關於 Container Signatures 的一些演變,包含了 Docker Content Trust, Notary(V1) 以及 The Update Framework 早期的使用方式
到後來因為 OCI(Open Container Initiative) 的發展與調整,目前可以直接於 OCI Image Spec 一同夾帶該 Image 相關的簽章。
這意味者任何支援該 OCI 標準的 Container Registry 不但可以存放該 Container Image 同時也可以存放該 Image 的簽章。
這個使用方式的變更也促使了 Notary 這個開源專案(v2)的演進。
與此同時, Linux 基金會底下的 Sigstore 專案也再努力地針對開源專案的簽章方面努力著,期望能夠透過簽署與驗證功能來提升開源專案簽署方面的應用。
Sigstore 專案底下的 Cosign 小專案則是專門處理 OCI Image 相關的簽章事項,包含簽署,儲存以及驗證。
而本文所開頭所提及的 Connaisseur 專案則是可以基於 Cosign 所簽署的內容去進行驗證,透過兩者的配合可以用來確保部署到 Kubernetes 的所有 Image 都需要被 Cosign 給簽署過
作者特別強調,目前 Sigsotre 以及 Cosign 這些專案都還是屬於開發階段,所以 Connaisseur 本身對於這項功能的整合也是屬於一個開發實驗階段,很多東西都會不穩定
隨者資安意識以及相關事件 Solarwinds hack 等的出現,當各團隊基本的 DevOps, CI/CD 文化與流程都逐漸成型後, DevSecOps 的東西就會是下一個各團隊要開始煩惱的地方了
特別是所謂的 Software Supply Chain 上的各種潛在危險。
同時也有2部Youtube影片,追蹤數超過3萬的網紅#ミニマリストライフ,也在其Youtube影片中提到,光学ドライブがないPCに最適です。 時々読み込むことが必要になるCDやDVDですが、新しいPCにはドライブが付いていません。 このときに本製品があると困りません。 一人一台は多いですが、家庭や職場に一台おいておくと万が一の際に安心です。 仕事の場合は客先データがCDやDVDの場合でも読む必要があるの...
「cd linux」的推薦目錄:
- 關於cd linux 在 矽谷牛的耕田筆記 Facebook 的精選貼文
- 關於cd linux 在 矽谷牛的耕田筆記 Facebook 的最佳貼文
- 關於cd linux 在 BorntoDev Facebook 的最佳貼文
- 關於cd linux 在 #ミニマリストライフ Youtube 的最讚貼文
- 關於cd linux 在 #ミニマリストライフ Youtube 的最佳貼文
- 關於cd linux 在 Difference between "cd -" and "cd ~-" - Unix StackExchange 的評價
- 關於cd linux 在 linux cd to folder containing the file - Stack Overflow 的評價
cd linux 在 矽谷牛的耕田筆記 Facebook 的最佳貼文
Ref: https://security.googleblog.com/2021/06/introducing-slsa-end-to-end-framework.html
今天要探討的是一個由 Google Blog 於上個月所推廣的軟體安全性框架,該框架名為 SLSA,全名則是 Supply Chain Levels for Software Artifacts,中文部分我不知道該怎麼翻譯才可以精準達到意思,所以建議就唸英文就好了。
該框架的目的是希望於整個軟體生產鏈中能夠進一步的去提升且確保所有產物的完整性(Integrity 這個詞該怎麼翻呢..)。
文章中用了一個很簡易的流程來清楚的解釋到底何謂 Software Supply Chain 以及整個流程中可能會有什麼問題。
Software Supply Chain 一個範例譬如
1. 開發者撰寫程式碼,並且提交到遠方的 SCM Repository
2. SCM Repo 因為程式碼改變,所以觸發相關的 CI/CD 流程
3. CI/CD 建置結束後則需要打包整個程式碼,產生最後的 Package.
4. 產生後的 Packet 則可以正式上場使用
文章認為上述的流程中有兩個不同類別的安全性問題,分別是
1. Source Integrity
2. Build Integrity.
Source Integrity 這邊主要是針對 Source Code 相關的問題,譬如
1. 開發者是否有意的故意塞入一些會不懷好意的程式碼到 SCM Repo 內。
範例: Linux Hypocrite commits, 之前美國某大學研究團隊基於研究嘗試上傳一些不太好的程式碼而影響的討論風波
2. SCM 的管理平台是否可能被惡意攻擊
範例: PHP 事件: 之前自架的 PHP Git Server 被攻擊者惡意攻擊並且塞入兩筆不懷好意的 Commit
而 Build Integrity 本身則是有更多不同的面向,譬如
1. SCM 觸發 CI/CD 過程是否有可能有問題
範例: Webmin 事件,攻擊者去修改團隊的建置系統去使用沒有被 SCM 所記錄的修改檔案。
2. CI/CD 建置系統本身被攻擊
範例: SolarWinds 事件,攻擊者攻破建置系統去安裝一些軟體來修改整的建置流程
3. CI/CD 建置過程中引用到錯誤的 Dependency
4. 攻擊者上傳一些惡意產物到應該只有 CI/CD 系統才可以存取的場所。
... 等
目前來說, SLSA 還處於非常早期階段,經由業界的共識來思考每個領域有什麼好的措施與指引來避免與偵測系統是否被攻破。其最終目標狀態是希望能夠根據環境自動產生出一套可整合到系統中的產物,並且最後可以給出 SLSA 憑證來給平台或是建置後的 Package。
對 SLSA 這個專案有興趣看看的請參考原始連結,內容不長但是頗有趣的
cd linux 在 BorntoDev Facebook 的最佳貼文
⌛ ปฏิเสธไม่ได้เลยว่าอาชีพ DevOps ก็กำลังมาแรงมากในยุคนี้เช่นกัน อีกทั้งยังเป็นอาชีพที่มีค่าตัวสูงมากๆ ทำให้ใครหลายๆ คนจึงอยากทำอาชีพนี้
.
💡 DevOps พูดกันง่ายๆ คืออาชีพที่จะช่วยเชื่อมกระบวนการพัฒนาโปรแกรม ไปจนถึงขั้น Deploy รวมถึงการติดตามสถานะการทำงานของโปรแกรม และนำมาปรับปรุงพัฒนาให้มีประสิทธิภาพยิ่งขึ้น
.
👉 สิ่งสำคัญที่ต้องเรียนรู้หากอยากจะทำอาชีพนี้มีอะไรบ้าง? วันนี้แอดสรุปคร่าวๆ มาให้แล้วจ้า
.
✨ 1) ต้องมีแนวคิดในการพัฒนาซอฟต์แวร์
ซึ่ง DevOps อาจจะไม่ต้องเขียนโปรแกรมโดยตรง แต่ต้องมีความรู้ที่ครอบคลุมและทำงานร่วมกับทีม Developer เพื่อพัฒนาปรับปรุงโปรแกรมให้เป็นไปตาม Flow มากที่สุด
.
✨ 2) ต้องมีความรู้พื้นฐาน Linux
การทำงานจะต้องจัดเตรียมโครงสร้างต่างๆ ซึ่งส่วนใหญ่จะทำบนเซิร์ฟเวอร์ และเซิร์ฟเวอร์ส่วนใหญ่ก็จะใช้ OS เป็น Linux ดังนั้นจึงต้องมีความรู้ด้านนี้มาบ้าง เช่น คำสั่ง Command Line พื้นฐาน, SSH Key เป็นต้น
.
✨ 3) Networking & Security
เช่นการ Configure Firewalls, HTTP/HTTPS, โครงสร้าง IP addresses และ DNS เป็นต้น
.
✨ 4) Docker
DevOps ส่วนใหญ่จะใช้งาน Docker กันเป็นหลัก หากใครยังไม่มีพื้นฐานสามารถเข้าไปเรียนได้ฟรีได้ที่ลิงค์นี้เลย >> https://www.youtube.com/watch?v=3c-iBn73dDE
.
✨ 5) CI/CD
เป็นกระบวนการ Monitor การพัฒนาแอปพลิเคชันแบบอัตโนมัติ ตั้งแต่การนำโค้ดมา Merge กัน ไปจนถึงการทดสอบเพื่อ Deploy ขึ้น Production ซึ่งเราควรเรียนรู้เครื่องมือต่างๆ ที่จะทำ CI/CD อย่างเช่น CI/CD pipeline, การ Set Up CI/CD, การใช้งาน Docker Image เป็นต้น
.
✨ 6) ผู้ให้บริการ Cloud
ซึ่งในหลายบริษัทใช้บริการโครงสร้าง Cloud สำเร็จรูป โดยที่ไม่ต้องออกแบบ IaaS เอง ซึ่งเราควรเรียนรู้ และใช้เครื่องมือต่างๆ ของระบบ Cloud นั้นๆ ไว้บ้าง ซึ่งที่ฮิตกันตอนนี้ก็มี AWS, Azure, และ Google Cloud เป็นต้น
✨ 7) Kubernetes
เป็นที่นิยมอย่างมากในการใช้จัดการ Containers บนเซิร์ฟเวอร์ต่างๆ และเราก็ควรเรียนรู้ว่ามันทำงานยังไง มีคำสั่งอะไรบ้าง หากใครสนใจอยากเรียนพื้นฐานการใช้งาน Kubernetes แบบฟรีๆ คลิกลิงค์ได้เลยจ้า >> https://www.youtube.com/watch?v=X48VuDVv0do
.
✨8) ภาษา Script
การจัดการแอปพลิเคชันแบบอัตโนมัติก็ต้องมีการเขียน Script เพื่อให้มันทำงานตาม Flow จึงจำเป็นที่จะต้องเขียนภาษา Script พื้นฐานให้เป็นด้วย เช่น Python, Ruby, NodeJS และ Go
.
✨ 9) การใช้งาน Git
จำเป็นต้องรู้โครงสร้าง และคำสั่งพื้นฐานในการใช้งาน Git เพื่อช่วยจัดการและติดตามการเปลี่ยนแปลงของโค้ด และการอัปเดตเวอร์ชันต่างๆ ก่อน Deploy ขึ้น Production
.
✨ 10) พื้นฐาน Infrastructure
ต้องรู้จักเครื่องมือต่างๆ ที่ใช้ในการจัดการ Infrastructure อย่างมีประสิทธิภาพ เช่น Ansible, Puppet, และ Chef เป็นต้น
.
หากใครมีประเด็นเพิ่มเติม หรือพี่ๆ คนไหนที่กำลังทำอาชีพนี้ มีสิ่งที่อยากจะแชร์ให้กับเพื่อนๆ หรือน้องๆ ที่สนใจ สามารถคอมเมนต์ไว้ใต้โพสนี้เลยนะคะ 😍
.
❤️ หวังว่าข้อมูลนี้จะเป็นประโยชน์กับเพื่อนๆ น้า
.
borntoDev - 🦖 สร้างการเรียนรู้ที่ดีสำหรับสายไอทีในทุกวัน
cd linux 在 #ミニマリストライフ Youtube 的最讚貼文
光学ドライブがないPCに最適です。 時々読み込むことが必要になるCDやDVDですが、新しいPCにはドライブが付いていません。 このときに本製品があると困りません。 一人一台は多いですが、家庭や職場に一台おいておくと万が一の際に安心です。
仕事の場合は客先データがCDやDVDの場合でも読む必要があるので必須です。
ケーブルは直づけで収納付きです。 共用で使っている場合でも確実にケーブルが付いているので素早く使えます。
ローディングはトレー式なので、緊急時には適当な電源に接続してCDやDVDを排出できます。 客先や自社の機密データや人に見られたくないDVDなども安心して排出できます。 また、8cmCDの読み込みもできるので昔のシングルCDも読み込み可能です。
外付けドライブ VersionTech 正規輸入品 USB3.0 ポータブルドライブ DVD±RW CD-RW 光学式 超スリム 流線型 外付けプレイヤー/レコーダー Window/Linux/Mac OS三対応 オシャレスタイル
http://www.amazon.co.jp/o/asin/B01GJGV4TO/jihei-22/
商品購入はこちらから(Amazonアソシエイトプログラムを利用しています)
http://www.amazon.co.jp/s/merchant=A1ZU9E52JOZ0O7/?tag=jihei-22
VersionTech Inc.の他の商品はこちらから(Amazonアソシエイトプログラムを利用しています)
https://www.facebook.com/aicellopack/posts/1207198322637641
Facebook
https://twitter.com/jihei/status/748446694119903232
Twitter
https://plus.google.com/+JiheiOrg/posts/eTqNG77jqGZ
Google+
http://vk.com/jihei?w=wall224295012_196
VK
https://kiwi.qa/jihei/38629809125189747
KIWI
http://youtube.com/dougakaihou/
My Channel 私のチャンネルです 動画解放軍
http://review.jihei.org/
動画解放軍公式ブログ
http://dkg.pw/kizai.html
使っている機材リスト
http://dkg.pw/
動画解放軍公式Web
バイヤー必見 最新のガジェット情報をいち早く取り上げています。高品質で安価、そして高い機能性の商品。 仕入れ担当者は『商品レビュー専門』で毎日素早く情報を手に入れましょう。
cd linux 在 #ミニマリストライフ Youtube 的最佳貼文
トレー式で信頼性のあるポータブルドライブです。 家庭や職場、事務所で一台あるとCDの取り込みやDVDのインストールなどに使え便利です。
純正品では高価なのでこちらをおすすめします。 万が一排出出来ない場合でも、適当なUSB電源に接続しボタンを長押しする事で確実にCDやDVDを取り出せます。
機密情報や個人的に見られたくないディスクを入れた場合でも安心ですね。
遅くなりますが、ケーブルは通常のMicroUSBケーブルでも代用可能です。
VersionTech【最新バージョン】USB3.0 ポータブルドライブ CD+/-RW DVD+/-RW 外付けドライブ/プレイヤー Windows/Linux/Mac OS三対応 スーパドライブ 超薄型
http://www.amazon.co.jp/o/asin/B01EN0VYPM/jihei-22/
商品購入はこちらから(Amazonアソシエイトプログラムを利用しています)
http://www.amazon.co.jp/s/merchant=A1ZU9E52JOZ0O7/?tag=jihei-22
VersionTech Inc.の他の商品はこちらから(Amazonアソシエイトプログラムを利用しています)
https://www.facebook.com/aicellopack/posts/1188409847849822
Facebook
https://twitter.com/jihei/status/737671665711087617
Twitter
https://plus.google.com/+JiheiOrg/posts/bpnQuWVo8EX
Google+
http://vk.com/jihei?w=wall224295012_34
VK
https://kiwi.qa/jihei/35936048256510871
KIWI
http://youtube.com/dougakaihou/
My Channel 私のチャンネルです 動画解放軍
http://review.jihei.org/
動画解放軍公式ブログ
http://dkg.pw/kizai.html
使っている機材リスト
http://dkg.pw/
動画解放軍公式Web
バイヤー必見 最新のガジェット情報をいち早く取り上げています。高品質で安価、そして高い機能性の商品。 仕入れ担当者は『商品レビュー専門』で毎日素早く情報を手に入れましょう。
cd linux 在 Difference between "cd -" and "cd ~-" - Unix StackExchange 的推薦與評價
There are two things at play here. First, the - alone is expanded to your previous directory. This is explained in the cd section of man bash (emphasis mine):. ... <看更多>