SLSA
AssessKỹ thuật
Khung bảo mật chuỗi cung ứng cho nguồn gốc và tính toàn vẹn của quy trình build phần mềm.
Vì sao ở đây
Xếp vào Assess: 2 bài bằng chứng từ 2 nguồn, chủ yếu là tin bảo mật, 1 bài trong 30 ngày qua. Độ tin cậy 38%.
Bằng chứng (2)
- 6InfoQ·8/9/2026framework_updatePacker 1.16 bổ sung SLSA provenance gốc cho image máy
HashiCorp đã phát hành Packer v1.16.0 với hỗ trợ gốc để tạo, ký và xác minh các SLSA provenance attestation cho từng machine image được xây dựng. Bản cập nhật này giúp đội ngũ có bản ghi chống sửa đổi về quá trình tạo image mà không cần thêm công cụ chuỗi cung ứng khác.
- 10The New Stack·31/8/2026securitySâu Shai-Hulud biến việc phát hành npm thành tấn công chuỗi cung ứng
Bài viết mô tả chuỗi tấn công chuỗi cung ứng trên npm có khả năng tự lây lan, bắt đầu từ Shai-Hulud và các biến thể sau đó, trong đó mã độc đánh cắp thông tin xác thực, phát hành lại gói đã bị cài cắm và lan rộng mà không cần thao tác của con người. Biến thể mới nhất, ChainDrop, lợi dụng quy trình phát hành hợp lệ có chữ ký và xác nhận SLSA hợp lệ để vượt qua cơ chế kiểm tra tin cậy, đồng thời dùng smart contract trên Ethereum cho hạ tầng điều khiển.