Ref: https://security.googleblog.com/2021/06/introducing-slsa-end-to-end-framework.html

今天要探討的是一個由 Google Blog 於上個月所推廣的軟體安全性框架，該框架名為 SLSA，全名則是 Supply Chain Levels for Software Artifacts，中文部分我不知道該怎麼翻譯才可以精準達到意思，所以建議就唸英文就好了。

該框架的目的是希望於整個軟體生產鏈中能夠進一步的去提升且確保所有產物的完整性(Integrity 這個詞該怎麼翻呢..)。

文章中用了一個很簡易的流程來清楚的解釋到底何謂 Software Supply Chain 以及整個流程中可能會有什麼問題。

Software Supply Chain 一個範例譬如
1. 開發者撰寫程式碼，並且提交到遠方的 SCM Repository
2. SCM Repo 因為程式碼改變，所以觸發相關的 CI/CD 流程
3. CI/CD 建置結束後則需要打包整個程式碼，產生最後的 Package.
4. 產生後的 Packet 則可以正式上場使用

文章認為上述的流程中有兩個不同類別的安全性問題，分別是
1. Source Integrity
2. Build Integrity.

Source Integrity 這邊主要是針對 Source Code 相關的問題，譬如
1. 開發者是否有意的故意塞入一些會不懷好意的程式碼到 SCM Repo 內。
範例: Linux Hypocrite commits, 之前美國某大學研究團隊基於研究嘗試上傳一些不太好的程式碼而影響的討論風波
2. SCM 的管理平台是否可能被惡意攻擊
範例: PHP 事件: 之前自架的 PHP Git Server 被攻擊者惡意攻擊並且塞入兩筆不懷好意的 Commit

而 Build Integrity 本身則是有更多不同的面向，譬如
1. SCM 觸發 CI/CD 過程是否有可能有問題
範例: Webmin 事件，攻擊者去修改團隊的建置系統去使用沒有被 SCM 所記錄的修改檔案。
2. CI/CD 建置系統本身被攻擊
範例: SolarWinds 事件，攻擊者攻破建置系統去安裝一些軟體來修改整的建置流程
3. CI/CD 建置過程中引用到錯誤的 Dependency
4. 攻擊者上傳一些惡意產物到應該只有 CI/CD 系統才可以存取的場所。
... 等

目前來說， SLSA 還處於非常早期階段，經由業界的共識來思考每個領域有什麼好的措施與指引來避免與偵測系統是否被攻破。其最終目標狀態是希望能夠根據環境自動產生出一套可整合到系統中的產物，並且最後可以給出 SLSA 憑證來給平台或是建置後的 Package。

對 SLSA 這個專案有興趣看看的請參考原始連結，內容不長但是頗有趣的

NT 370 特價中

課程已於 2021 年6 月更新

從這 38 小時的課程，你會學到
✅ 能使用 HTML 來編寫網頁上各種各樣的對象或者元素
✅ 能夠使用指定不同的元素或者對象用 CSS 或 CSS3 去美化他們，讓網站看起來更光彩奪目！
✅ 能使用 Javascript，jQuery 製作具有各種功能的網頁程式或互動的效果
✅ 能使用 Bootstrap的框架去製作美觀,複雜的網頁程序,並適合不同的設備,包括各種平板和手機等
✅ 能使用 WordPress 無需編寫任何一段程式碼去構建自己的網路商店或者論壇
✅ 能使用 PHP 和 mySQL 去編寫功能強大的服務器端程序，反應使用者的請求，實現伺服器端與客戶端的互動！

https://softnshare.com/ken-cens/

Google的函式即服務Cloud Functions開始支援PHP7.4，開發者透過PHP函式開發框架可以編寫PHP函式，在雲端建構重要的應用和整合層程式

#看更多 https://www.ithome.com.tw/news/144041

------------------------------------------------------------

【獨步全球．臺灣唯一 𝗖𝗬𝗕𝗘𝗥𝗦𝗘𝗖 𝟮𝟬𝟮𝟭 臺灣資安大會】
👉👉 5/4 ~ 5/6 臺北南港展覽二館 免費參加 馬上出發！

✦ 全方位 200+ 主題論壇議程
https://r.itho.me/2021-agenda
✦ 突破 200 + 品牌資安大展
https://r.itho.me/2021-expo
✦ 佳評如潮 Cyber LAB 獨家企劃
https://r.itho.me/2021-lab
✦ Cyber Talent 新鮮人職場專區
https://r.itho.me/2021-talent
✦ 看見臺灣資安館 自主研發實力
https://r.itho.me/2021-twpavilion
✦ 擴增升級 六大實境遊戲區
https://r.itho.me/2021-playground
✦ 票選 Tech Demo Award 抽大獎
https://r.itho.me/2021-techdemo
✦ 逛展與會限定 多重實用好禮
https://r.itho.me/2021-specialevents

🏆 超規格 3 天展會、撐住 2021 全球唯一實體資安盛事
獨家內容 全程免費、馬上前往南港展覽二館現場體驗 🔰

________________________________
𝗖𝗬𝗕𝗘𝗥𝗦𝗘𝗖 𝟮𝟬𝟮𝟭 臺灣資安大會
時間： 5 月 4 - 6 日
地點： 臺北南港展覽二館
官網： https://r.itho.me/CYBERSEC_2021

#TRUST_redefined #信任重構
#CYBERSEC2021 #2021臺灣資安大會

現在學習知識的渠道越來越多，無論對於零基礎或是有經驗的工程師，想要持續成長應該看書還是看影片來的更有效率呢？

主要會和你分享我過去從新手到資深的過程中，如何持續保持進步及學習的經驗

也許這個經驗可以幫助到你，也歡迎留言和我分享你的看法

相信彼此分享不同的學習見解，能讓對於想要更精進自己程式開發功力的人有很大的幫助

===章節===
00:00 哪一個有效律?
00:36 寫程式如同寫作
05:14 書是最便宜的資源
10:14 折扣碼操作示範

===蝦皮購書折扣碼===
折扣碼：FLAGNIC36
時間：2021-03-29 ~ 2021-06-29

折扣碼：FLAGNIC79
時間：2021-06-30 ~ 2021-09-30

折扣碼： FLAGNIC11
時間：2021-10-01~ 2021-12-31

===前陣子在看的推薦書單===
（零基礎）
- 白話演算法！培養程式設計的邏輯思考
- Python 刷提鍛鍊班

（中高階）
- 設計模式之禪(第2版)
- 無瑕的程式碼－整潔的軟體設計與架構篇
- 單元測試的藝術
- 演算法之美：隱藏在資料結構背後的原理(C++版)
- Kent Beck的實作模式

（Ruby）
- Writing Efficient Ruby Code

（成長思考）
- 圖解．實戰 麥肯錫式的思考框架：讓大腦置入邏輯，就能讓90%的困難都有解！
- 師父：那些我在課堂外學會的本事
- 高勝算決策：如何在面對決定時，降低失誤，每次出手成功率都比對手高?
- 窮查理的普通常識
- 懶人圖解簡報術：把複雜知識變成一看就秒懂的圖解懶人包
- 寫作，是最好的自我投資

喜歡影片的話！可以幫忙點個喜歡以及分享、訂閱唷！😘

━━━━━━━━━━━━━━━━
🎬 觀看我的生活廢片頻道: https://bit.ly/2Ldfp1B
⭐ instagram (生活日常): https://www.instagram.com/niclin_tw/
⭐ Facebook (資訊分享): https://www.facebook.com/niclin.dev
⭐ Blog (技術筆記): https://blog.niclin.tw
⭐ Linkedin (個人履歷): https://www.linkedin.com/in/nic-lin
⭐ 蝦皮賣場: https://shopee.tw/bboyceo
⭐ Github: https://github.com/niclin
⭐ Podcast: https://anchor.fm/niclin
━━━━━━━━━━━━━━━━
✉️ 合作邀約信箱: niclin0226@gmail.com

#寫程式 #前端 #後端