aqua-checksums

Внешний мониторинг целостности цепочки поставок для проектов с открытым исходным кодом Aqua Security.

Что делает этот репозиторий

Этот репозиторий непрерывно отслеживает целостность опубликованных артефактов Aqua Security — контейнерных образов, релизов GitHub, Git-тегов и файлов релизов — записывая и проверяя криптографические дайджесты с течением времени. Для подписанных артефактов он также проверяет подписи cosign Sigstore по журналу прозрачности Rekor.

Запланированный рабочий процесс GitHub Actions запускается каждые 10 минут и сравнивает текущие дайджесты артефактов с ранее сохранённым состоянием. Если какой-либо дайджест неожиданно изменился, рабочий процесс завершается с ошибкой и создаёт Issue на GitHub с подробностями.

Почему внешний мониторинг важен

Атаки на цепочку поставок ПО часто нацелены на каналы распространения:

• Перехват тегов — принудительная отправка существующих Git-тегов на вредоносные коммиты
• Замена файлов релизов — повторная загрузка скомпрометированных бинарных файлов в существующие релизы
• Подмена тегов образов — отправка вредоносного содержимого в существующие теги контейнерных образов

Такие атаки сложно обнаружить изнутри целевого репозитория, поскольку злоумышленник с достаточным доступом может также отключить мониторинг внутри репозитория. Внешний мониторинг из отдельного репозитория к этому невосприимчив.

Отслеживаемые цели

Как это работает

1. Обнаружение — получение списка текущих тегов и релизов из GitHub API и контейнерных реестров
2. Проверка целостности — сравнение текущих дайджестов (через HEAD-запросы) с записанным состоянием
3. Проверка подписей — для артефактов, подписанных с помощью Sigstore, проверяет подписи cosign без ключей и подтверждает включение в журнал прозрачности Rekor. Поддерживаются как устаревшие подписи на основе тегов (.sig-теги), так и новый формат пакета Sigstore (OCI Referrers API и файлы релизов .sigstore.json).
4. Обновление состояния — фиксация и отправка новых записей в этот репозиторий

Режимы проверки

Файлы состояния

Состояние хранится в TSV-файлах в каталоге state/ (по одному на цель). Каждая строка содержит тип артефакта, идентификатор, дайджест, статус подписи и дату создания. Изменения файлов состояния фиксируются рабочим процессом, что обеспечивает полный аудит через историю Git.

Оповещения

При обнаружении нарушения целостности рабочий процесс:

1. Завершается с ненулевым статусом (сбой рабочего процесса)
2. Создаёт Issue на GitHub с деталями обнаруженного