aqua-checksums

Surveillance externe de l'intégrité de la chaîne d'approvisionnement pour les projets open source Aqua Security.

Ce que fait ce dépôt

Ce dépôt surveille en continu l'intégrité des artefacts publiés par Aqua Security — images de conteneurs, releases GitHub, tags Git et artefacts de release — en enregistrant et en vérifiant les digests cryptographiques au fil du temps. Pour les artefacts signés, il vérifie également les signatures cosign Sigstore par rapport au journal de transparence Rekor.

Un workflow GitHub Actions planifié s'exécute toutes les 10 minutes et compare les digests actuels des artefacts à l'état précédemment enregistré. Si un digest a changé de manière inattendue, le workflow échoue et crée une issue GitHub avec les détails.

Pourquoi la surveillance externe est importante

Les attaques de la chaîne d'approvisionnement logicielle ciblent souvent les canaux de distribution :

• Détournement de tags — forcer le push de tags Git existants vers des commits malveillants
• Remplacement des artefacts de release — ré-uploader des binaires compromis vers des releases existantes
• Mutation de tags d'images — pousser du contenu malveillant vers des tags d'images conteneur existants

Ces attaques sont difficiles à détecter depuis l'intérieur du dépôt cible, car un attaquant disposant d'un accès suffisant peut également désactiver la surveillance dans le dépôt. La surveillance externe depuis un dépôt séparé n'est pas vulnérable à cela.

Cibles surveillées