GitHub ha anunciado la disponibilidad general de Artifact Attestations, una nueva funcionalidad destinada a mejorar la seguridad en la cadena de suministro de software. Con más de 100 millones de desarrolladores utilizando GitHub, la compañía busca proporcionar herramientas que protejan la integridad del software desde su código fuente hasta su distribución final.
Artifact Attestations permite a los mantenedores de proyectos crear de manera sencilla un rastro de auditoría inalterable y verificable que vincula el software con sus instrucciones de construcción y código fuente. Los consumidores del metadato generado pueden utilizarlo para realizar nuevas comprobaciones de seguridad y validación mediante herramientas como Rego y Cue. Inicialmente, la verificación se realiza a través de GitHub CLI, pero se planea extender esta verificación al ecosistema de Kubernetes más adelante este año. La funcionalidad se basa en Sigstore, un proyecto de código abierto que se encarga de la firma y verificación de artefactos de software. Esto permite a los mantenedores de proyectos de código abierto reducir su exposición a ataques en la cadena de suministro y mejorar la seguridad del ecosistema de software en general, independientemente de dónde se almacene el código o se construyan los artefactos.
La experiencia de usuario de Artifact Attestations ha sido diseñada para ser lo más sencilla posible, requiriendo únicamente la adición de un poco de YAML al flujo de trabaj...