Trustcheck ตรวจสอบการรับรอง PyPI เพื่อปกป้องการพึ่งพา Python
ตรวจสอบการรับรองแพ็คเกจ PyPI และลายเซ็น Sigstore เพื่อติดตามวงล้อที่เผยแพร่กลับไปยังต้นกำเนิดการสร้าง ตรวจจับการพิมพ์ผิดและวัตถุที่ถูกครอบครองโดยบัญชี สร้างโดย HalfbloodPrince สำหรับ Windows และเป็นเครื่องมือ Python ข้ามแพลตฟอร์ม เครื่องมือนี้ให้ CLI ที่มีน้ำหนักเบาสำหรับการตรวจสอบลายเซ็น การตรวจสอบการรับรอง และการทำงานอัตโนมัติใน CI มุ่งเป้าไปที่นักพัฒนา Python วิศวกร DevOps และนักวิจัยด้านความปลอดภัยที่จัดการห่วงโซ่อุปทานของการพึ่งพาที่ละเอียดอ่อนและต้องการขั้นตอนการตรวจสอบที่ทำซ้ำได้ในเวิร์กโฟลว์ของพวกเขา。
trustcheck ตรวจสอบอะไรเกี่ยวกับแพ็คเกจ?
มันตรวจสอบการรับรองและลายเซ็นทางเข้ารหัส ที่แนบมากับการแจกจ่าย PyPI โดยใช้ Sigstore ยืนยันว่าอาร์ติฟักต์ที่เผยแพร่ของแพ็คเกจสามารถติดตามกลับไปยังแหล่งการสร้างที่อ้างสิทธิ์ได้ เครื่องมือนี้อ่านข้อมูลเมตาของ PyPI และการรับรองที่เกี่ยวข้อง ตรวจสอบหลักฐานที่ลงนามด้วย Sigstore และรายงานความไม่ตรงกันระหว่างการรับรองและต้นกำเนิดของแพ็คเกจ ผลลัพธ์แสดงให้เห็นว่าแหล่งที่มาของแพ็คเกจมีความน่าเชื่อถือทางเข้ารหัสหรือไม่ หรือจำเป็นต้องมีการตรวจสอบเพิ่มเติม
กระบวนการตรวจสอบมีผลกระทบต่อระบบของนักพัฒนาหรือไม่?
การตรวจสอบทำงานเป็นการดำเนินการ CLI ที่เบา ซึ่งตั้งใจให้ใช้ในเทอร์มินัลหรือการทำงานอัตโนมัติ ยูทิลิตี้นี้ถูกแจกจ่ายเป็นแพ็คเกจ Windows และเครื่องมือ Python ซึ่งทำให้สามารถทำงานภายในสคริปต์ CI หรือการตรวจสอบในท้องถิ่นได้โดยมีการตั้งค่าสภาพแวดล้อมน้อยที่สุด เนื่องจากมันทำการตรวจสอบลายเซ็นและอ่านข้อมูลเมตาแทนที่จะสร้างหรือสแกนทั้งหมด การดำเนินการจึงมุ่งเน้นไปที่คำขอเครือข่ายและการตรวจสอบเข้ารหัสแทนที่จะเป็นการประมวลผลที่ใช้ CPU หนัก
เครื่องมือนี้ปลอดภัยในการใช้ในท่อส่งอัตโนมัติหรือไม่?
มันรวมเข้ากับ Sigstore และออกแบบมาสำหรับการทำงานอัตโนมัติ ดังนั้นจึงเหมาะสำหรับการตรวจสอบ CI/CD ที่ควบคุมการติดตั้งการพึ่งพา ลักษณะ CLI ทำให้สามารถเขียนสคริปต์ได้และเหมาะสำหรับขั้นตอนก่อนติดตั้งหรือหลังเผยแพร่ รหัสเป็นโอเพนซอร์สและตรวจสอบได้สาธารณะบน GitHub ทำให้ทีมสามารถตรวจสอบตรรกะการตรวจสอบก่อนที่จะนำไปใช้ในเวิร์กโฟลว์อัตโนมัติ
ใครควรทำงาน trustcheck และความเชี่ยวชาญใดที่จำเป็น?
ผู้ปฏิบัติงานที่คุ้นเคยกับการจัดการการพึ่งพาและการเข้ารหัสพื้นฐานจะได้รับคุณค่ามากที่สุด อินเทอร์เฟซมีลักษณะเป็นบรรทัดคำสั่ง ดังนั้นการใช้งานภายใน CI หรือสคริปต์เชลล์จึงต้องมีความรู้เกี่ยวกับชื่อแพ็คเกจ อาร์ติฟักต์การสร้าง และฮุคในท่อส่ง นักวิจัยด้านความปลอดภัยและวิศวกร DevOps สามารถนำไปใช้ได้โดยตรง; นักพัฒนาที่สะดวกกับการจัดการแพ็คเกจสามารถเพิ่มเป็นขั้นตอนการตรวจสอบเพิ่มเติมได้โดยไม่ต้องเปลี่ยนแปลงระบบอย่างลึกซึ้ง
การตรวจสอบที่ชัดเจนและใช้งานได้จริงสำหรับทีมที่รักษาความปลอดภัยใน Python dependencies
เครื่องมือนี้ให้การตรวจสอบที่เป็นรูปธรรมซึ่งเหมาะกับการทำงานของนักพัฒนาและ CI pipelines โดยปรับปรุงความสามารถในการตรวจจับแพ็คเกจที่น่าสงสัยก่อนการติดตั้ง คาดว่าจะมีการทำงานผ่าน command-line และความจำเป็นในการมีทักษะการรวม pipeline ขั้นพื้นฐาน; โค้ดแบบ open-source มีความสามารถในการตรวจสอบได้ แนะนำ.
