現在的 Chrome 網路商店跟 Google Play 商店一樣存在很多安全隱患...

Ref: https://security.googleblog.com/2021/06/introducing-slsa-end-to-end-framework.html

今天要探討的是一個由 Google Blog 於上個月所推廣的軟體安全性框架，該框架名為 SLSA，全名則是 Supply Chain Levels for Software Artifacts，中文部分我不知道該怎麼翻譯才可以精準達到意思，所以建議就唸英文就好了。

該框架的目的是希望於整個軟體生產鏈中能夠進一步的去提升且確保所有產物的完整性(Integrity 這個詞該怎麼翻呢..)。

文章中用了一個很簡易的流程來清楚的解釋到底何謂 Software Supply Chain 以及整個流程中可能會有什麼問題。

Software Supply Chain 一個範例譬如
1. 開發者撰寫程式碼，並且提交到遠方的 SCM Repository
2. SCM Repo 因為程式碼改變，所以觸發相關的 CI/CD 流程
3. CI/CD 建置結束後則需要打包整個程式碼，產生最後的 Package.
4. 產生後的 Packet 則可以正式上場使用

文章認為上述的流程中有兩個不同類別的安全性問題，分別是
1. Source Integrity
2. Build Integrity.

Source Integrity 這邊主要是針對 Source Code 相關的問題，譬如
1. 開發者是否有意的故意塞入一些會不懷好意的程式碼到 SCM Repo 內。
範例: Linux Hypocrite commits, 之前美國某大學研究團隊基於研究嘗試上傳一些不太好的程式碼而影響的討論風波
2. SCM 的管理平台是否可能被惡意攻擊
範例: PHP 事件: 之前自架的 PHP Git Server 被攻擊者惡意攻擊並且塞入兩筆不懷好意的 Commit

而 Build Integrity 本身則是有更多不同的面向，譬如
1. SCM 觸發 CI/CD 過程是否有可能有問題
範例: Webmin 事件，攻擊者去修改團隊的建置系統去使用沒有被 SCM 所記錄的修改檔案。
2. CI/CD 建置系統本身被攻擊
範例: SolarWinds 事件，攻擊者攻破建置系統去安裝一些軟體來修改整的建置流程
3. CI/CD 建置過程中引用到錯誤的 Dependency
4. 攻擊者上傳一些惡意產物到應該只有 CI/CD 系統才可以存取的場所。
... 等

目前來說， SLSA 還處於非常早期階段，經由業界的共識來思考每個領域有什麼好的措施與指引來避免與偵測系統是否被攻破。其最終目標狀態是希望能夠根據環境自動產生出一套可整合到系統中的產物，並且最後可以給出 SLSA 憑證來給平台或是建置後的 Package。

對 SLSA 這個專案有興趣看看的請參考原始連結，內容不長但是頗有趣的

今天這篇文章探討的是如何不使用 docker 工具來搭建一個 contaienr image。
作者開頭就提到 docker 一個知名的安全問題就是要透過 root 的方式來建置 docker image。

本篇文章會著重於
1. docker 此種設定的安全性問題
2. 如何透過 Buildah & Podman 來作為取代的解決方案
3. 如何透過 Kaniko 這個由 Google 維護的專案來取代 Docker

文章前面簡單介紹 Docker 的架構， Docker Daemon 預設使用 unix socket 的方式去連接，導致 docker cli 也必須要使用 root 的方式去運行。

為了從 root 的世界中脫離，作者提到可以使用 Buildah 來建置 container image 並且使用 podman 來運行 container。
過往這些操作全部都由一個 docker daemon 完成，現在則是有不同的開源專案負責處理各自功能，更像專業分工。

這邊再次提醒，一切的一切目前都是基於 OCI 的標準去完成，所以 docker 建置完成的 image 可以透過 podman 運行，反過來 buildah 建置的 image 也可以透過 docker 去運行。

Kaniko 基於一個非 root 的身份來建置 contaienr image，更常見的使用環境是於 container 內透過 kaniko 去建置 contaienr image。
因為此特性，該工具也可以很漂亮的於 Kubernetes 內去使用，

原文針對這兩系列的工具都有範例介紹，有興趣的可以點選原文去參考如何使用

https://medium.com/containers-101/docker-images-without-docker-a-practical-guide-7af1f6f8747c

公訓處Youtube影音雲端應用課程分享(問卷結果與安裝4KVideo Downloader&下載MP4與MP3&下載播放清單&安裝解碼器&快速剪輯&兩階段驗證與上傳YOUTUBE影片&管理YOUTUBE影片與建立播放清單&_找出前五名影片與建立播放清單與下載)

上課影音內容：
01_YOUTUBE課前說明
02_問卷結果與安裝4KVideo Downloader
03_用4KVideo Downloader下載MP4與MP3
04_下載播放清單
05_下載MKV檔與安裝解碼器
06_下載MKV檔與安裝解碼器
07_下載與安裝快速剪輯與使用
08_兩階段驗證與上傳YOUTUBE影片
09_管理YOUTUBE影片與建立播放清單
10_找出前五名影片與建立播放清單與下載


完整連結：
https://www.youtube.com/playlist?list=PLgzs-Q3byiYP-SAa4E-O7ohUj5Ud0j-EE&disable_polymer=true

課程特色：
1.學會各種下載YOUTUEB方法。
2.學會下載MP3方法。
3.學會YOUTUBE轉成標準影音DVD。
4.相片快速轉成影片。
5.各種雲端應用實例。
6.雲端剪輯與轉檔備份。
7.如何剪輯音訊MP3檔

這星期幾乎都在公訓處講授 "雲端應用" 所以中午吃飯的時候，
遇到其他老師，直接就稱我 "雲端老師" ，感覺很奇妙！
大家對雲端的話題非常有興趣，通常也會聊到智慧型手機，
多半對這樣的裝置又愛又恨的，但又不能不懂它，
就我的想法所有東西都有優缺點，一體兩面，就看你如何去用它了，
懂得用他的優點，工作效率提高，生活也變得很不一樣，
即便是有安全性問題，但只要隨時保持學習，自然就知道如何變免隱私洩漏問題發生。
第一天課程概略介紹YOUTUBE影音格式，並教大家如何下載YOUTUBE的方法，與大量批次下載的第二種方式，各有優缺點，但步驟不難，注意細節即可。並學習上傳影片到YOUTUBE，並使用最新的雲端剪輯技術，
無需MOVIES MAKER或威立導演，就可以達到剪裁、旋轉等效果，
還有許多的效果可以選擇，背景音樂還可以選擇YOUTUBE上的免費音樂，免除版權問題，最後更試用剛推出的線上雲端影音編輯器，功能完整，
就跟MOVIES MAKER所提供的功能沒兩樣，最大好處是無須安裝程式，
直接雲端編輯，加入數個影片後，也提供選多轉場特效與剪輯功能，
還可以加上片頭與片尾的文字，可以輕易的產生自己喜愛的影片，
最後練習作業就是分享自己的成果，可以分享到FACEBOOK、TWITTER與GOOGLE+，每個人完成後，也要寄一個分享電子郵件連結給老師，就完成第一天的課程目標。此外，也分享GOOGLE試算表的妙用

雲端時代來臨，沒上雲端就會被綁在一台電腦上，
無法隨時隨地使用資源，上雲端只要有網路有裝置，
包括智慧型手機、平板電腦等，就可以隨時存取並修改檔案，
配合雲端列印，更可以達到處處是辦公室的境界。

如何上GOOGLE雲端：
1.請用GOOGLE瀏覽器
2.需要一個以上的GOOGLE帳號
3.將EXCEL檔案上載到GOOGLE雲端空間
優點：
1.如果你電腦沒有EXCEL軟體，可以用GOOGLE試算表工作。
2.如果你的檔案是EXCEL2010而你電腦只有EXCEL2003，可以用GOOGLE轉成2003版本。
3.如果你想在妳的ANDROID手機隨時看到試算表資料，上傳到雲端就可以同步。
4.如果你的EXCEL檔有加密碼，上傳到GOOGLE也會自動破解。

吳老師 106/2/9

台北市公務人員訓練處,雲端應用教學,下載 mp3,youtube download,youtube下載軟體,youtube downloader,youtube下載方法,youtube下載器,youtube下載網頁,播放清單,用REALPLAYER下載YOUTUBE影片,快速剪輯影片,,兩階段驗證,解碼器,批次轉換成MP3音樂,轉換成iPhone可播放格式

公訓處Youtube影音雲端應用課程分享(問卷結果與安裝4KVideo Downloader&下載MP4與MP3&下載播放清單&安裝解碼器&快速剪輯&兩階段驗證與上傳YOUTUBE影片&管理YOUTUBE影片與建立播放清單&_找出前五名影片與建立播放清單與下載)

上課影音內容：
01_YOUTUBE課前說明
02_問卷結果與安裝4KVideo Downloader
03_用4KVideo Downloader下載MP4與MP3
04_下載播放清單
05_下載MKV檔與安裝解碼器
06_下載MKV檔與安裝解碼器
07_下載與安裝快速剪輯與使用
08_兩階段驗證與上傳YOUTUBE影片
09_管理YOUTUBE影片與建立播放清單
10_找出前五名影片與建立播放清單與下載


完整連結：
https://www.youtube.com/playlist?list=PLgzs-Q3byiYP-SAa4E-O7ohUj5Ud0j-EE&disable_polymer=true

課程特色：
1.學會各種下載YOUTUEB方法。
2.學會下載MP3方法。
3.學會YOUTUBE轉成標準影音DVD。
4.相片快速轉成影片。
5.各種雲端應用實例。
6.雲端剪輯與轉檔備份。
7.如何剪輯音訊MP3檔

這星期幾乎都在公訓處講授 "雲端應用" 所以中午吃飯的時候，
遇到其他老師，直接就稱我 "雲端老師" ，感覺很奇妙！
大家對雲端的話題非常有興趣，通常也會聊到智慧型手機，
多半對這樣的裝置又愛又恨的，但又不能不懂它，
就我的想法所有東西都有優缺點，一體兩面，就看你如何去用它了，
懂得用他的優點，工作效率提高，生活也變得很不一樣，
即便是有安全性問題，但只要隨時保持學習，自然就知道如何變免隱私洩漏問題發生。
第一天課程概略介紹YOUTUBE影音格式，並教大家如何下載YOUTUBE的方法，與大量批次下載的第二種方式，各有優缺點，但步驟不難，注意細節即可。並學習上傳影片到YOUTUBE，並使用最新的雲端剪輯技術，
無需MOVIES MAKER或威立導演，就可以達到剪裁、旋轉等效果，
還有許多的效果可以選擇，背景音樂還可以選擇YOUTUBE上的免費音樂，免除版權問題，最後更試用剛推出的線上雲端影音編輯器，功能完整，
就跟MOVIES MAKER所提供的功能沒兩樣，最大好處是無須安裝程式，
直接雲端編輯，加入數個影片後，也提供選多轉場特效與剪輯功能，
還可以加上片頭與片尾的文字，可以輕易的產生自己喜愛的影片，
最後練習作業就是分享自己的成果，可以分享到FACEBOOK、TWITTER與GOOGLE+，每個人完成後，也要寄一個分享電子郵件連結給老師，就完成第一天的課程目標。此外，也分享GOOGLE試算表的妙用

雲端時代來臨，沒上雲端就會被綁在一台電腦上，
無法隨時隨地使用資源，上雲端只要有網路有裝置，
包括智慧型手機、平板電腦等，就可以隨時存取並修改檔案，
配合雲端列印，更可以達到處處是辦公室的境界。

如何上GOOGLE雲端：
1.請用GOOGLE瀏覽器
2.需要一個以上的GOOGLE帳號
3.將EXCEL檔案上載到GOOGLE雲端空間
優點：
1.如果你電腦沒有EXCEL軟體，可以用GOOGLE試算表工作。
2.如果你的檔案是EXCEL2010而你電腦只有EXCEL2003，可以用GOOGLE轉成2003版本。
3.如果你想在妳的ANDROID手機隨時看到試算表資料，上傳到雲端就可以同步。
4.如果你的EXCEL檔有加密碼，上傳到GOOGLE也會自動破解。

吳老師 106/2/9

台北市公務人員訓練處,雲端應用教學,下載 mp3,youtube download,youtube下載軟體,youtube downloader,youtube下載方法,youtube下載器,youtube下載網頁,播放清單,用REALPLAYER下載YOUTUBE影片,快速剪輯影片,,兩階段驗證,解碼器,批次轉換成MP3音樂,轉換成iPhone可播放格式

公訓處Youtube影音雲端應用課程分享(問卷結果與安裝4KVideo Downloader&下載MP4與MP3&下載播放清單&安裝解碼器&快速剪輯&兩階段驗證與上傳YOUTUBE影片&管理YOUTUBE影片與建立播放清單&_找出前五名影片與建立播放清單與下載)

上課影音內容：
01_YOUTUBE課前說明
02_問卷結果與安裝4KVideo Downloader
03_用4KVideo Downloader下載MP4與MP3
04_下載播放清單
05_下載MKV檔與安裝解碼器
06_下載MKV檔與安裝解碼器
07_下載與安裝快速剪輯與使用
08_兩階段驗證與上傳YOUTUBE影片
09_管理YOUTUBE影片與建立播放清單
10_找出前五名影片與建立播放清單與下載


完整連結：
https://www.youtube.com/playlist?list=PLgzs-Q3byiYP-SAa4E-O7ohUj5Ud0j-EE&disable_polymer=true

課程特色：
1.學會各種下載YOUTUEB方法。
2.學會下載MP3方法。
3.學會YOUTUBE轉成標準影音DVD。
4.相片快速轉成影片。
5.各種雲端應用實例。
6.雲端剪輯與轉檔備份。
7.如何剪輯音訊MP3檔

這星期幾乎都在公訓處講授 "雲端應用" 所以中午吃飯的時候，
遇到其他老師，直接就稱我 "雲端老師" ，感覺很奇妙！
大家對雲端的話題非常有興趣，通常也會聊到智慧型手機，
多半對這樣的裝置又愛又恨的，但又不能不懂它，
就我的想法所有東西都有優缺點，一體兩面，就看你如何去用它了，
懂得用他的優點，工作效率提高，生活也變得很不一樣，
即便是有安全性問題，但只要隨時保持學習，自然就知道如何變免隱私洩漏問題發生。
第一天課程概略介紹YOUTUBE影音格式，並教大家如何下載YOUTUBE的方法，與大量批次下載的第二種方式，各有優缺點，但步驟不難，注意細節即可。並學習上傳影片到YOUTUBE，並使用最新的雲端剪輯技術，
無需MOVIES MAKER或威立導演，就可以達到剪裁、旋轉等效果，
還有許多的效果可以選擇，背景音樂還可以選擇YOUTUBE上的免費音樂，免除版權問題，最後更試用剛推出的線上雲端影音編輯器，功能完整，
就跟MOVIES MAKER所提供的功能沒兩樣，最大好處是無須安裝程式，
直接雲端編輯，加入數個影片後，也提供選多轉場特效與剪輯功能，
還可以加上片頭與片尾的文字，可以輕易的產生自己喜愛的影片，
最後練習作業就是分享自己的成果，可以分享到FACEBOOK、TWITTER與GOOGLE+，每個人完成後，也要寄一個分享電子郵件連結給老師，就完成第一天的課程目標。此外，也分享GOOGLE試算表的妙用

雲端時代來臨，沒上雲端就會被綁在一台電腦上，
無法隨時隨地使用資源，上雲端只要有網路有裝置，
包括智慧型手機、平板電腦等，就可以隨時存取並修改檔案，
配合雲端列印，更可以達到處處是辦公室的境界。

如何上GOOGLE雲端：
1.請用GOOGLE瀏覽器
2.需要一個以上的GOOGLE帳號
3.將EXCEL檔案上載到GOOGLE雲端空間
優點：
1.如果你電腦沒有EXCEL軟體，可以用GOOGLE試算表工作。
2.如果你的檔案是EXCEL2010而你電腦只有EXCEL2003，可以用GOOGLE轉成2003版本。
3.如果你想在妳的ANDROID手機隨時看到試算表資料，上傳到雲端就可以同步。
4.如果你的EXCEL檔有加密碼，上傳到GOOGLE也會自動破解。

吳老師 106/2/9

台北市公務人員訓練處,雲端應用教學,下載 mp3,youtube download,youtube下載軟體,youtube downloader,youtube下載方法,youtube下載器,youtube下載網頁,播放清單,用REALPLAYER下載YOUTUBE影片,快速剪輯影片,,兩階段驗證,解碼器,批次轉換成MP3音樂,轉換成iPhone可播放格式