Ref: https://security.googleblog.com/2021/06/introducing-slsa-end-to-end-framework.html

今天要探討的是一個由 Google Blog 於上個月所推廣的軟體安全性框架，該框架名為 SLSA，全名則是 Supply Chain Levels for Software Artifacts，中文部分我不知道該怎麼翻譯才可以精準達到意思，所以建議就唸英文就好了。

該框架的目的是希望於整個軟體生產鏈中能夠進一步的去提升且確保所有產物的完整性(Integrity 這個詞該怎麼翻呢..)。

文章中用了一個很簡易的流程來清楚的解釋到底何謂 Software Supply Chain 以及整個流程中可能會有什麼問題。

Software Supply Chain 一個範例譬如
1. 開發者撰寫程式碼，並且提交到遠方的 SCM Repository
2. SCM Repo 因為程式碼改變，所以觸發相關的 CI/CD 流程
3. CI/CD 建置結束後則需要打包整個程式碼，產生最後的 Package.
4. 產生後的 Packet 則可以正式上場使用

文章認為上述的流程中有兩個不同類別的安全性問題，分別是
1. Source Integrity
2. Build Integrity.

Source Integrity 這邊主要是針對 Source Code 相關的問題，譬如
1. 開發者是否有意的故意塞入一些會不懷好意的程式碼到 SCM Repo 內。
範例: Linux Hypocrite commits, 之前美國某大學研究團隊基於研究嘗試上傳一些不太好的程式碼而影響的討論風波
2. SCM 的管理平台是否可能被惡意攻擊
範例: PHP 事件: 之前自架的 PHP Git Server 被攻擊者惡意攻擊並且塞入兩筆不懷好意的 Commit

而 Build Integrity 本身則是有更多不同的面向，譬如
1. SCM 觸發 CI/CD 過程是否有可能有問題
範例: Webmin 事件，攻擊者去修改團隊的建置系統去使用沒有被 SCM 所記錄的修改檔案。
2. CI/CD 建置系統本身被攻擊
範例: SolarWinds 事件，攻擊者攻破建置系統去安裝一些軟體來修改整的建置流程
3. CI/CD 建置過程中引用到錯誤的 Dependency
4. 攻擊者上傳一些惡意產物到應該只有 CI/CD 系統才可以存取的場所。
... 等

目前來說， SLSA 還處於非常早期階段，經由業界的共識來思考每個領域有什麼好的措施與指引來避免與偵測系統是否被攻破。其最終目標狀態是希望能夠根據環境自動產生出一套可整合到系統中的產物，並且最後可以給出 SLSA 憑證來給平台或是建置後的 Package。

對 SLSA 這個專案有興趣看看的請參考原始連結，內容不長但是頗有趣的

3/16開發者訪談
.
原始訪談影片 www.twitch.tv/videos/239064071
QA整理情報來源wowhead
QA整理情報來源網址 www.wowhead.com/news=282736
.
我英文很破很破，超級渣翻譯。
我選擇比較有意思的QA其他的可以去看原文
.
重點中的重點
目前計畫的同盟種族有黑鐵矮人 瑪格哈獸人 庫爾提拉斯 贊達拉
榮譽顛峰等級不會絕版
神兵武器保留只是會禁用所有特質。
附圖是人類男與牛頭人男比較兩個新種族的身高
.
Will there be playable Zandalari Paladins?
贊達拉有聖騎士嗎?
There is a sect of Zandalari who are Paladins, but (Spoilers!) something happens to cause them to lose their powers. We'll have to see when Zandalari are released.
贊達拉有一個派系是聖騎士，不過他們因為某種原因失去力量，在贊達拉上線的時候，我們會看到的。
.
How tall are Zandalari? Will they be Tauren Height?
贊達拉有多高?跟牛頭人一樣高嗎?
They recently made the Zandalari taller, so that when a regular troll stands up straight, they should be about the same height.
大概是普通食人妖挺胸的高度。
.
Will Allied Races always be in Pairs?
同盟種族總是成對的出現嗎?
Right now, very likely. In the long run maybe, but they'll aim for a faction balance in the short term.
現在確實如此，未來不好說，但目前為了陣營平衡是這樣。
.
What Allied Races are planned for BFA?
預計在BFA計畫推出的同盟種族?
Dark Iron Dwarf, Mag'har (Uncorrupted Brown) Orc, Kul'Tiran, Zandalari
黑鐵矮人 瑪格哈獸人 庫爾提拉斯 贊達拉
.
Will current Allied Races receive more customization?
同盟種族會有更多可以選擇的外觀樣式嗎?
They have already sent more feedback to the art team.
我們會反映給藝術團隊。
.
Are the old races getting Heritage Armor?
舊種族也能有傳承護甲嗎?
No immediate plans, but something cool. Allied races aren't supposed to be cooler than the original races.
沒有這個計畫，但是這很Cool，同盟種族不應該比舊種族更Cool。
.
What type of weapons will our Artifacts be replaced with?
神兵武器的未來如何?
You'll still have your Artifact weapon and your relics, but all the traits will be burned out and disabled. You'll still use the weapon for some time before you replace it with some green.
你依然持有神兵武器，只是未來會失去所有特質，在你替換上新的武器前，會再使用一陣子。
(這邊我的理解是神兵武器保留但是神兵特質和神兵點數失去，聖物只剩下裝等的能力，等你拿到新版的武器前，你還是得拿神兵武器)
.
Artifact Knowledge was terrible for alts originally.
神兵知識初始設計的對新人來講非常可怕。
The Azerite catch up system in BFA will work similar to the Artifact Knowledge system on live currently.
新的艾澤萊追趕機制會使用版本末的神兵知識設計。
(就是神兵知識自動研發，新手加入就是自動研發到最新)
.
Any more details on Prestige?
有關於榮譽巔峰等級?
The rewards for Prestige will still be attainable and they still want to have anyone who attained the rewards to have the Prestige of owning them. Don't panic if you don't get them by the end of Legion!
榮譽顛峰等級在新版本一樣可以升級與取得獎勵，不用擔心。

《ARTIFACTS Audio - Bragi Dash Pro》

#小叮噹翻譯蒟蒻 👄
#愛情不用翻譯 👄
#藍芽耳機再進化 👄
德國品牌Bragi首度推出及時翻譯功能 - 藍芽耳機
擁有強大40種語言翻譯技術，以及貼心人性設計，輕鬆與全世界溝通！

結合高科技4D技術，擺擺頭也能操作，再也不用怕一個人出國不懂語言，帶著Bragi Pro，走進巴黎米蘭街頭，來一趟深度遊，不用嚮導也能享受像個當地人深入遊走。即時翻譯帶在身邊的願望，透過Bragi Pro 不用再比手畫腳，讓人與人之間更加靠近，細膩的即時翻譯將在Bragi Pro 實現！
另外還能當你專屬智能教練，紀錄鍛鍊情況，深入分析跑步、騎腳踏車、游泳數據。內容量擁有4G，可存上約1000首MP3歌曲，讓你在翻譯、運動時刻都能同時保有。
#首款防水藍芽耳機 #直接隨點隨用

📍ARTIFACTS 敦南旗艦店 / 誠品松菸 / 微風廣場
📍線上購買
http://www.artifactsstore.com/new/bragi-the-dash-pro.html

Now Available at ARTIFACTS
更多資訊 歡迎親臨店洽 | www.artifactsstore.com