Spitfirev1.0.0 · Yenilikler

Sürüm: 1.0.0Bu dokümantasyon Spitfire 1.0.0 içindir.

Güvenlik ve sürüm doğrulama

Her Spitfire sürümüyle birlikte bir "güven paketi" yayımlanır: yazılımın içinde ne olduğu (SBOM), bilinen açıklar için tarama raporu ve dosyaların imzaları. Güvenlik ekibiniz Spitfire'ı kurmadan önce bunlarla kendi kontrolünü yapabilir.

Ne yayımlanır

Dosyalar kurulum paketinin yanında, https://spitfire.tr/download/ altındadır (<sürüm> örneğin 1.0.0):

Dosya Ne
spitfire-<sürüm>-source.spdx.json Kaynak kodun SBOM'u, SPDX biçiminde (Go modülleri, web arayüzünün npm paketleri)
spitfire-<sürüm>-source.cdx.json Aynı SBOM, CycloneDX biçiminde
spitfire-<sürüm>-image.spdx.json / .cdx.json Sunucu imajının SBOM'u (usespitfire/spitfire:<sürüm>, linux/amd64)
spitfire-<sürüm>-image-browser…, -image-updater…, -image-collector… Tarayıcı, güncelleyici ve Collector imajlarının SBOM'ları
spitfire-<sürüm>-<ad>.vulns.json Her SBOM için açık taraması raporu
<dosya>.sigstore.json Dosyanın cosign imzası
cosign.pub İmzaları doğrulamak için açık anahtar

Docker Hub'daki imajlar da imzalıdır ve CycloneDX SBOM'u imaja attestation olarak eklenmiştir.

Not

Sürüm yayımlanmadan önce kaynak ve imajlar taranır; kritik seviyede bir açık sürümü durdurur. Düzeltmesi olmayan ya da Spitfire'da kullanılmayan bir koddan gelen bulgu kabul edilirse gerekçesiyle depoda kayıt altına alınır ve raporda görünmez.

İmajı doğrulamak

cosign kurulu bir makinede:

bash
curl -fsSLO https://spitfire.tr/download/cosign.pub
cosign verify --key cosign.pub usespitfire/spitfire:1.0.0

Çıktıda imzanın doğrulandığı yazar; imza yoksa ya da başka bir anahtarla atılmışsa komut hata verir. İmajın SBOM'unu imzasıyla birlikte almak için:

bash
cosign verify-attestation --key cosign.pub --type cyclonedx usespitfire/spitfire:1.0.0 > attestation.json

Kurulum paketini ve dosyaları doğrulamak

bash
V=1.0.0
curl -fsSLO https://spitfire.tr/download/spitfire-$V.tar.gz
curl -fsSLO https://spitfire.tr/download/spitfire-$V.tar.gz.sigstore.json
cosign verify-blob --key cosign.pub --bundle spitfire-$V.tar.gz.sigstore.json spitfire-$V.tar.gz

Aynı komut install.sh, install.ps1, çevrimdışı paketler (spitfire-offline-<sürüm>-linux-amd64.tar.gz) ve SBOM dosyaları için de çalışır: dosyanın adına .sigstore.json ekleyin.

SBOM'u kendi aracınızla taramak

SBOM standart biçimdedir; kurumunuzun kullandığı tarayıcıya verebilirsiniz. Örneğin:

bash
grype sbom:spitfire-1.0.0-image.cdx.json

Bizim raporumuz (.vulns.json) yayın anındaki veritabanıyla üretilmiştir; sonradan duyurulan açıklar için SBOM'u kendiniz yeniden tarayın.

Ürünün kendi imzaları

Güven paketinden bağımsız olarak Spitfire güncellemeleri zaten imzalıdır:

  • Sürüm listesi (releases.json) imzalıdır; controller imzasız ya da değiştirilmiş listeyi kabul etmez.
  • Runner dağıtımı imzalı bir SHA256SUMS taşır; runner'lar kendini yalnız imzalı listeden günceller.
  • Kurulum paketinin .sha256 özeti paketle birlikte yayımlanır.

Güvenlik bildirimi

Bir güvenlik açığı bulduysanız ayrıntıları konu satırına "Güvenlik" yazarak support@spitfire.tr adresine e-postayla gönderin. Bildirimler e-postayla yanıtlanır.

İlgili sayfalar