Google 开源 GUAC,又一个保护软件供应链的项目
自从去年年底 Log4j 漏洞被发现以来,软件供应链的安全问题就是目前很多企业和政府组织非常重视的问题。 此前 Google 就已经针对软件供应链的安全开源了一个名为 SLSA(Supply chain Levels for Software Artifacts)的框架,这是一个新的端到端框架,Google 希望通过 SLSA 能推动标准和准则的实施,以确保整个软件供应链中软件工件的完整性。 SLSA 框架的灵感来自其强制性的内部 「Binary Authorization for Borg」 执行检查器,该检查器可确保生产软件得到适当的审查和授权,特别是在代码可以访问用户数据的情况下。Binary Authorization for Borg 已经在 Google 内部使用了 8 年时间,并且是 Google 所有生产工作负载的强制性检查器。 Google 近日又公开了一个针对软件供应链的全新开源项目,该项目名为 GUAC(Graph for Understanding Artifact Composition),由 Google 与 Kusari、普渡大学和花旗银行合作开发。 这是...

