La seguridad del software no depende únicamente del código fuente. También importa cómo se construye, qué herramientas participan en el proceso y qué garantías existen sobre el origen de los componentes.
SLSA (Supply-chain Levels for Software Artifacts) es un marco que busca mejorar la integridad de la cadena de suministro de software.
Su enfoque incluye prácticas relacionadas con la procedencia de los artefactos, la seguridad de los procesos de construcción y la reducción de oportunidades de manipulación.
Por ejemplo, una organización puede necesitar comprobar que una aplicación fue construida mediante un proceso autorizado y utilizando el código esperado.
Para ello pueden generarse declaraciones de procedencia que describen información relevante sobre el proceso de construcción.
Esto permite establecer controles adicionales antes de distribuir o desplegar software.
SLSA resulta especialmente interesante en proyectos donde participan múltiples desarrolladores, repositorios, sistemas de integración continua y dependencias externas.
Sin embargo, adoptar este marco no significa que una aplicación esté libre de vulnerabilidades. Su objetivo principal se relaciona con mejorar determinadas garantías sobre la integridad y procedencia del software.
Mini guía práctica: identifica cómo se construyen actualmente tus aplicaciones, limita quién puede modificar los procesos de compilación y establece mecanismos verificables de procedencia.
Tip Winxgo: no basta con confiar en el código fuente. También es importante poder verificar cómo se transformó ese código en el programa que finalmente llega a producción.
¿Crees que las empresas deberían exigir información verificable sobre la construcción del software que utilizan?
Leave a Reply