Secure Software Summit: The State of OSS Supply Chain Security
2022/03/17 SecurityBoulevard — Open Source Software (OSS) サプライチェーンが、サイバー攻撃にさらされている。最近の Log4Shell 脆弱性に見られるように、OSS のサプライチェーンは、セキュリティの弱点を突こうとする、攻撃者の焦点となりつつある。数多くの調査レポートにおいて、いわゆる次世代ソフトウェア・サプライチェーン攻撃の、過去 10年間での大幅な増加が示されている。これらの攻撃は、ソースコード／ビルドシステム／CI/CDツール／コードテスト・ツールといった、ソフトウェア・サプライチェーンの重要なリンクの侵害を狙ったものである。
Continue reading “Secure Software Summit：OSS サプライチェーン・セキュリティの現状について”Poisoned pipelines: Security researcher explores attack methods in CI environments
2022/02/16 DailySwig — あるセキュリティ研究者が、Source Code Management (SCM) リポジトリのパーミッションを悪用することで、CI ポイズニング攻撃 (Poisoned Pipeline Attacks) につながることを解説している。Continuous Integration (CI)／Continuous Delivery (CD) プラットフォームを含む開発者のための環境は、コードのマージ／ソフトウェアビルドの自動化／テスト／DevOps プロジェクトへのコード提供のための、基本的なビルディング・ブロックである。
Continue reading “ポイズンド・パイプライン：CI/CD 環境における攻撃メソッドについて”Google Contributes $1M to Reward Developers for OSS Security
2021/10/01 SecurityBoulevard — 今日 Google は、Linux Foundation により管理される Secure Open Source (SOS) Pilot Program を立ち上げた。このプログラムでは、オープンソース・ソフトウェアの安全性を高める取り組みを行った開発者に対して、$1 million の報酬が提供される。Google Open Source Security Team の Principal Engineer and Manager である Abhishek Arya は、「今回の取り組みは、Google が以前から行ってきた $10 billion 規模のオープンソース・セキュリティへの取り組みの最新版だ」と述べている。
Continue reading “Google が考えるセキュアな OSS：開発者たちに１億円の報奨金を準備する”Rethinking Cloud Infrastructure Authentication
2021/08/30 SecurityBoulevard — 願わくば p4$$w0r9s を超えて、すべてのクラウド・インフラでセキュアなキーと多要素認証 (MFA) を使ってもらいたいものだ。しかし、それぞれの小さなノードや、ソフトウェア、サーバ、管理コンソールなどにアクセスできる人が、何人いるか把握されているだろうか？スクリプトが実行できるようにするために、どれだけのキーが散らばっているだろうか？信頼できる IP は何個あるだろうか？もし悪意のある人が、これらのうちの１つを手に入れたら、ネットワークがダウンする可能性があるのだろうか？誰かが退職したときに、変更しなければならないパスワードは何個あるのだろうか？
Continue reading “クラウド・インフラの認証を再考：GitOps のすすめ”
