Chainloop — это инновационное решение в мире разработки программного обеспечения, предлагающее открытое хранилище доказательств для цепочки поставок. Этот инструмент работает в рамках таких CI/CD систем, как GitHub Actions, GitLab, Jenkins и Dagger, позволяя разработчикам загружать результаты сборки в хранилище с адресацией по содержимому. Каждое загруженное доказательство сопровождается подписанным аттестатом in-toto, который фиксирует, кто и какие шаги сборки выполнял.
Одной из ключевых проблем, которую решает Chainloop, является отсутствие связи между различными артефактами сборки. Например, когда сборка генерирует список зависимостей, результаты статического анализа и другие файлы, они могут оказаться разбросанными по разным местам. Это создает сложности при необходимости подтвердить, какая версия библиотеки была использована в конкретном релизе. Chainloop устраняет эту проблему, обеспечивая централизованный контроль за всеми артефактами и их аттестацией.
Система использует концепцию "Workflow Contract", которая определяет, какие материалы и информацию должна предоставить сборка. Команды по соблюдению норм и безопасности разрабатывают эти контракты, а Chainloop проверяет, соответствуют ли артефакты и аттестации установленным требованиям. Это позволяет избежать ситуаций, когда сборка не генерирует необходимые документы.
Chainloop поддерживает множество форматов доказательств, включая CycloneDX, SPDX и SARIF, что делает его универсальным инструментом для анализа безопасности. Кроме того, система позволяет подписывать доказательства как через Sigstore, так и через собственные PKI организации, что важно для тех, кто предпочитает хранить ключи внутри своей инфраструктуры.
Интеграция Chainloop с различными системами, такими как OCI реестр или облачное хранилище, а также возможность отправки уведомлений в Jira, Discord или Slack, делает его удобным для использования как для команд разработки, так и для команд по соблюдению норм. Это решение также помогает соответствовать требованиям различных регуляторов, таких как FedRamp и EU Cyber Resilience Act.
Chainloop доступен бесплатно на GitHub, что делает его отличным выбором для команд, стремящихся улучшить безопасность своих процессов разработки.