Validierung von Image-Signaturen und Attestierungen

Dieses Dokument beschreibt, wie Sie die kryptografischen Signaturen und Attestierungen überprüfen, die von der Veröffentlichungspipeline des Images vantage-packager erstellt werden.

Überblick

Die vantage-packager-Verarbeitungspipeline erstellt mehrere Sicherheitsartefakte für jedes veröffentlichte Container-Image:

Container-Image-Signatur: Kryptografische Signatur mit Cosign
SPDX SBOM-Attestierung: Software Bill of Materials im SPDX-2.3-Format
Attestierung des Schwachstellen-Scans: Ergebnisse des Sicherheitsscans im SARIF-Format Alle Artefakte werden mit demselben privaten Schlüssel signiert und können mit dem entsprechenden öffentlichen Schlüssel verifiziert werden.

Voraussetzungen

Folgende Tools müssen installiert sein:

cosign – für die Verifizierung von Signaturen und Attestierungen
jq – für das Parsen und Analysieren von JSON
curl – zum Herunterladen von Artefakten (optional)

Signaturverifizierung

Grundlegende Verifizierung

Verifizieren Sie eine Image-Signatur mit dem öffentlichen Schlüssel:

# Signatur überprüfen (Transparenzprotokoll für private Registries überspringen)
cosign verify --key cosign.key.pub --insecure-ignore-tlog \
  abyvtgonprm27.azurecr.io/vantage-installer:2.7.1

Mit deaktivierter TLS-Prüfung

Für Registries mit selbstsignierten Zertifikaten:

cosign verify --key cosign.key.pub --insecure-ignore-tlog --allow-insecure-registry \
  abyvtgonprm27.azurecr.io/vantage-installer:2.7.1

Erwartete Ausgabe:

[{
  "critical": {
    "identity": {
      "docker-reference": "abyvtgonprm27.azurecr.io/vantage-installer"
    },
    "image": {
      "docker-manifest-digest": "sha256:a4190ad9d5289d7ad2d02d05749c10713a7aac217e8010b5e4ef15161b181c94"
    },
    "type": "cosign container image signature"
  }
}]

Verifizierung der Attestierung

SPDX SBOM-Attestierung

Prüfen Sie die Attestierung der SPDX Software Bill of Materials:

# SPDX-Attestierung verifizieren
cosign verify-attestation --key cosign.key.pub --type spdx --insecure-ignore-tlog \
  abyvtgonprm27.azurecr.io/vantage-installer:2.7.1

Attestierung des Schwachstellen-Scans

Prüfen Sie die Attestierung des Schwachstellen-Scans:

# Schwachstellen-Scan-Attestierung überprüfen
cosign verify-attestation --key cosign.key.pub --type vuln --insecure-ignore-tlog \
  abyvtgonprm27.azurecr.io/vantage-installer:2.7.1

Attestierungsdaten abrufen

SPDX SBOM herunterladen

Extrahieren Sie die SPDX SBOM aus der Attestierung:

# SPDX SBOM herunterladen und extrahieren
cosign download attestation --predicate-type spdx \
  abyvtgonprm27.azurecr.io/vantage-installer:2.7.1 | \
  jq -r '.payload' | base64 -d | jq -r '.predicate' > sbom.json

Ergebnisse des Schwachstellen-Scans herunterladen

Extrahieren Sie die Ergebnisse des Schwachstellen-Scans:

# Schwachstellen-Scan herunterladen und extrahieren
cosign download attestation --predicate-type vuln \
  abyvtgonprm27.azurecr.io/vantage-installer:2.7.1 | \
  jq -r '.payload' | base64 -d | jq -r '.predicate' > vuln-scan.sarif

Analyse von SPDX-SBOM-Daten

Grundlegende Informationen zur SBOM

# SBOM-Metadaten anzeigen
jq '{
  name: .name,
  spdxVersion: .spdxVersion,
  creationInfo: .creationInfo,
  packageCount: (.packages | length)
}' sbom.json

Alle Pakete auflisten

# Alle Pakete mit Versionen auflisten
jq -r '.packages[] | "\(.name) \(.versionInfo // "unknown")"' sbom.json | sort

Pakete mit bekannten Sicherheitslücken finden

# Pakete mit CPE-Bezeichnern auflisten (Schwachstellenreferenzen)
jq -r '.packages[] | select(.externalRefs[]?.referenceType == "cpe23Type") |
  "\(.name) \(.versionInfo // "unknown") - \(.externalRefs[0].referenceLocator)"' sbom.json

Lizenzinformationen

# Pakete mit deklarierten Lizenzen anzeigen
jq -r '.packages[] | select(.licenseDeclared != "NOASSERTION") |
  "\(.name): \(.licenseDeclared)"' sbom.json

Daten eines Schwachstellen-Scans analysieren

Grundlegende Scan-Informationen

# Scan-Metadaten anzeigen
jq '{
  version: .version,
  tool: .runs[0].tool.driver.name,
  toolVersion: .runs[0].tool.driver.version,
  resultCount: (.runs[0].results | length)
}' vuln-scan.sarif

Auflisten von Schwachstellen

# Alle gefundenen Schwachstellen auflisten
jq -r '.runs[0].results[] |
  "\(.ruleId) - \(.level // "unknown") - \(.message.text)"' vuln-scan.sarif

Schwachstellen mit hohem Schweregrad

# Nur Schwachstellen mit hohem Schweregrad anzeigen
jq -r '.runs[0].results[] | select(.level == "error") |
  "\(.ruleId): \(.message.text)"' vuln-scan.sarif

Tools zur SBOM-Visualisierung

CLI-Werkzeuge

CycloneDX-SBOM-Dienstprogramm

Installieren und verwenden Sie das CycloneDX-SBOM-Dienstprogramm für eine erweiterte Analyse:

# sbom-utility installieren (falls verfügbar)
go install github.com/CycloneDX/sbom-utility@latest

# SPDX SBOM validieren
sbom-utility validate --input-file sbom.json

# Komponentenbericht erstellen
sbom-utility query --input-file sbom.json --select "name,version" --from "packages"

Benutzerdefinierte Analyse mit jq

# Abhängigkeitsbaum-Ansicht erstellen
jq -r '.packages[] |
  select(.name != null) |
  "\(.name)@\(.versionInfo // "unknown") (\(.supplier // "unknown"))"' sbom.json |
  sort | uniq

Webbasierte Visualisierung

SBOM.sh-Online-Viewer

Rufen Sie https://sbom.sh/ auf.
Laden Sie Ihre Datei sbom.json hoch.
Erkunden Sie die interaktive Visualisierung von Komponenten und Abhängigkeiten.

Ermittlung von Artefaktverweisen

Signatur-Artefakte finden

# Signatur-Artefakt-Referenz finden
cosign triangulate --type signature \
  abyvtgonprm27.azurecr.io/vantage-installer:2.7.1

Attestierungsartefakte finden

# Attestierungs-Artefaktreferenz finden
cosign triangulate --type attestation \
  abyvtgonprm27.azurecr.io/vantage-installer:2.7.1

​Überblick

​Voraussetzungen

​Signaturverifizierung

​Grundlegende Verifizierung

​Mit deaktivierter TLS-Prüfung

​Verifizierung der Attestierung

​SPDX SBOM-Attestierung

​Attestierung des Schwachstellen-Scans

​Attestierungsdaten abrufen

​SPDX SBOM herunterladen

​Ergebnisse des Schwachstellen-Scans herunterladen

​Analyse von SPDX-SBOM-Daten

​Grundlegende Informationen zur SBOM

​Alle Pakete auflisten

​Pakete mit bekannten Sicherheitslücken finden

​Lizenzinformationen

​Daten eines Schwachstellen-Scans analysieren

​Grundlegende Scan-Informationen

​Auflisten von Schwachstellen

​Schwachstellen mit hohem Schweregrad

​Tools zur SBOM-Visualisierung

​CLI-Werkzeuge

​CycloneDX-SBOM-Dienstprogramm

​Benutzerdefinierte Analyse mit jq

​Webbasierte Visualisierung

​SBOM.sh-Online-Viewer

​Ermittlung von Artefaktverweisen

​Signatur-Artefakte finden

​Attestierungsartefakte finden