Playlist "Datenspuren 2026"
Reproducible Builds zur Absicherung von Open-Source-Supply-Chains mit Zero Trust
Maximaler Zero Trust für Open-Source-Projekte: Schutz vor Innentäterinnen und State Level Actor
Elaborierte Supply-Chain-Attacken durch State Level Actor gehören inzwischen für einige Open-Source-Projekte schon fast zum Alltag, der Angriff über die xzlib auf OpenSSH ist hier nur ein aktuelles Beispiel.
Deshalb setzen viele - insbesondere sicherheitskritische - Open-Source-Projekte auf Reproducible Builds. Dabei werden nicht mehr einfach Binaries auf einer Downloadseite mit einer GnuPG-Signatur geschützt, sondern u.a. durch mehrere unabhängige Build Pipelines und hermetische Builds auch Angriffe durch Innentäter massiv erschwert. Durch Reproducible Builds kann die gesamte Supply Chain eines Projektes massiv abgesichert werden.
Für Nutzer der Software ist dann nicht nur die Integrität des ISO-Images gesichert, sondern auch die Herkunft eines installierten Binaries nahezu zweifelsfrei nachvollziehbar und wie Wahrscheinlichkeit dass ein Innentäter das Binary erfolgreich manipuliert hat nahezu Null.
Ich stelle in diesem Vortrag die Maßnahmen vor, die nach den OpenSSF SLSA (Supply-chain Levels for Software Artifacts) empfohlen werden und auf welche Sicherheitsziele sie wie konkret einzahlen.
Dabei gehe ich insbesondere auf die Erfahrungen von Open-Source-Projekten wie NetBSD, Debian, The Tor Browser, NixOS oder Tails ein.
Licensed to the public under https://creativecommons.org/licenses/by/4.0/de/