OpenSSF WGs 紹介 : Securing Software Repositories / Security Tooling

サイボウズ株式会社 吉川拓哉氏・竹村太一氏
2023年2月28日開催 第1回 OSSセキュリティMeetup 講演資料

Transcript

1. OpenSSF WGs 紹介
   Securing Software Repositories,
   Security Tooling
   2023年2月28日
   サイボウズ株式会社
   吉川 拓哉、竹村 太一
   

   View Slide

2. 自己紹介（吉川について）
   ▌cybozu.com クラウド基盤の運用を担当（運用本部のマネージャー）
   ▌クラウドセキュリティに関して監査業務なども担当
   ▌前職では Linux カーネル開発なども
   

   View Slide

3. 自己紹介（竹村について）
   ▌Neco チームで Kubernetes の開発と運用を担当
   ▌22新卒
   ▌学生時代は TEE に関する研究をしていました
   

   View Slide

4. サイボウズと OpenSSF
   

   View Slide

5. 今回実施した OpenSSF WGs 調査
   ▌OpenSSF の年次レポートで概要調査
   ▌ミーティングのアジェンダなどで活動状況を確認
   ▌評価レポートや参考文献などを調査
   

   View Slide

6. 【WG】 Security Tooling
   ▌Git Repo: github.com/ossf/wg-security-tooling
   ▌Group Lead: Josh Bressers
   ▌Group Membership: SBOM Everywhere group に15名
   

   View Slide

7. アクティブな活動
   ▌SBOM 関連の活動に集中
   ▌22年 “SBOM Everywhere Special Interest Group (SIG)” 立ち上げ
   ▌SPDX Python library へのファンディングを9月に承認
   ◼ SBOM規格 ISO/IEC 5962:2021 に限らずツールやライブラリ開発も
   

   View Slide

8. OpenSSF としての貢献ポイント
   ▌ライブラリ開発はコミュニティのボランティアが長年担ってきた
   ▌SPDX 最新版への対応やコードのメンテナンス性の改善が課題
   ▌資金援助を通じて必要なスキルをもった人が貢献できるように
   

   View Slide

9. 具体的な WG の活動の様子
   ▌ML のアーカイブから月2回程のミーティングのアジェンダが辿れる
   ◼ SBOM Everywhere の目標設定
   ◼ ファンディング先についての提案
   ◼ SBOM 関連ツールの評価作成
   Evaluation of OSS SBOM Generators (EARLY DRAFT 編集中)
   

   View Slide

10. Security Tooling に参加するなら
    ▌自社で SBOM のベストプラクティスを試してみる
    ▌ツールの課題などを洗い出し
    ▌WG ミーティングに参加してフィードバック
    ▌SPDX Python library の開発に参加
    （ベストプラクティスについては後ほど）
    

    View Slide

11. 【WG】 Securing Software Repositories
    ▌Git Repo: github.com/ossf/wg-securing-software-repos
    ▌Group Lead: Dustin Ingram, Google
    ▌Group Membership: 20～40名
    

    View Slide

12. アクティブな活動
    ▌OSS リポジトリ、レジストリのメンテナのために活動
    ▌メンテナが問題やリスク・脅威について共有したり議論する場 Forum を提供
    ◼ 22年は重要リポのセキュリティギャップや改善予定を調査した
    ◼ Sigstoreのようなセキュリティ技術について RFC 議論や提案も
    ⇒ PyPI の 2FA mandate,
    npm で Sigstore を使うなどの RFC 採択
    

    View Slide

13. OpenSSFとしての貢献ポイント
    ▌重要な OpenSSF 技術の適用推進
    ▌クリティカルなリポジトリでのベストプラクティスの遂行
    ◼ 技術的ガイダンス、議論、ファンディングという形で貢献する
    

    View Slide

14. Securing Software Repositories に参加するなら
    ▌日本からのコミットが多いリポで何か課題がないか考える
    ▌WG で直接扱えない小規模コミュニティへの対応
    

    View Slide

15. 【おまけ】 SBOMs 参考資料の紹介
    ▌ How to Generate an SBOM with Free Open Source Tools, by Keith Zantow
    https://anchore.com/sbom/how-to-generate-an-sbom-with-free-open-
    source-tools/
    ▌ 8 top SBOM tools to consider, by Steven J. Vaughan-Nichols
    https://www.csoonline.com/article/3667483/8-top-sbom-tools-to-
    consider.html
    

    View Slide

16. SBOMs ユーザー3分類
    ▌ソフトウェア生産者
    ◼ 提供ソフトウェアのビルドやメンテナンスのために
    ▌ソフトウェア調達者
    ◼ 購入前の保証や価格交渉、事前の実装計画などに
    ▌ソフトウェアオペレーター
    ◼ 脆弱性管理や資産管理、ライセンスやコンプラチェックなどリスク管理
    

    View Slide

17. SBOM 対応の推奨
    ▌CI/CD パイプラインに組み込む
    ◼ 参考：GitHub Actions の sbom-action と scan-action
    ▌暗号化された署名と検証の導入
    ▌Gartner 社のツールに関する推奨
    ◼ ビルドプロセスでソースとイメージからの SBOMs 生成対応
    ◼ 編集可能で可読なフォーマットへの対応
    ◼ フォーマット変換や他ツールやAPIへの対応
    

    View Slide

18. サイボウズの対応（検討中）
    ▌Kubernetes 基盤への移行後は SBOMs 対応しやすいかも
    ◼ CI/CD パイプラインに組み込んで共通の仕組みでスキャンも可能かも
    ◼ 現状は開発チームのリスト管理方法は統一されていない
    ◼ 一部チームで GitHub Actions での生成を試したりはしている
    ▌サイボウズが公開した OSS のメンテでは WG のベストプラクティスを参考に
    

    View Slide