سجلات المكوّنات البرمجية، وهي المستودعات التي تُخزَّن فيها حزم البرمجيات المُجمَّعة وصور الحاويات ومكوّنات النشر وتُوزَّع، نقطة تحكم حرجة في سلسلة توريد البرمجيات. فهي الجسر بين مسار البناء الذي يُنتج البرمجيات والبنية التحتية للنشر التي تشغّلها. وأمن هذا الجسر هو ما يحدد ما إذا كان المكوّن الموقَّع والمُتحقَّق منه الذي يغادر مسار البناء يصل إلى بيئة النشر سليمًا. وسجل المكوّنات الذي يسمح بالكتابة فوق المكوّنات المنشورة بعد نشرها دون تغيير معرّف الإصدار يُنشئ خطرًا على سلسلة التوريد لا يستطيع توقيع الشيفرة وحده التخفيف منه: إذ يستطيع المهاجم الذي يخترق حسابًا في السجل أن يستبدل بصمت مكوّنًا مشروعًا بآخر خبيث بينما يظل وسم الإصدار وURL التنزيل دون تغيير.
تمثل فجوة عدم القابلية للتعديل الخاصية الأمنية الجوهرية التي تميّز سجلات المكوّنات البرمجية الآمنة من غير الآمنة. فسجل المكوّنات غير القابل للتعديل لا يسمح بالكتابة فوق إصدار منشور من مكوّن ما، فمتى نُشر الإصدار أصبح دائمًا. وإذا احتيج إلى توزيع مكوّن مختلف، فيجب أن يحصل على وسم إصدار جديد. وهذه الخاصية جوهرية لأمن سلسلة التوريد لأنها تضمن أن المستهلك الذي ينزّل الإصدار 2.3.1 من حزمة ما اليوم يتلقى المكوّن نفسه الذي تلقاه مستهلك نزّل 2.3.1 بالأمس، بصرف النظر عن أي تغييرات في صلاحيات الوصول إلى السجل أو أي اختراق لحسابات السجل منذ النشر الأصلي.
تمثل مشكلة التحكم في الوصول الثغرة التشغيلية. فسجلات المكوّنات البرمجية تراكم مع الوقت حسابات تملك صلاحية الكتابة: حسابات المطورين، وحسابات الخدمة في CI/CD، وحسابات أتمتة النشر، وحسابات أُنشئت لمشاريع محددة ولم تُلغَ عند انتهاء المشروع. وكل حساب يملك صلاحية الكتابة على نطاق أسماء الإنتاج يمثل ناقلًا محتملًا لاختراق السجل. وحسابات الموظفين السابقين هي الأكثر قابلية للاستغلال الفوري: فالموظف لم يعد لديه مبرر عمل مشروع للوصول، وقد لا يكون الحساب مراقَبًا، وقد لا تعلم المؤسسة بوجود الحساب أصلًا إذا لم تكن إدارة الوصول إلى السجل متكاملة مع إدارة دورة حياة الهويات.
لماذا يهم هذا
يكتسب أمن سجلات المكوّنات البرمجية أهميته في TPRM لأن المكوّنات البرمجية التي تتلقاها مؤسستك من المورّدين تُوزَّع عبر سجلات يحدد وضعها الأمني ما إذا كان المكوّن الذي تنزّله هو المكوّن الذي نشره المورّد. فالمورّد الذي يكون سجله قابلًا للتعديل، أو ضوابط الوصول لديه ضعيفة الصيانة، أو يمكن الكتابة على نطاق أسمائه من حسابات مخترقة أو حسابات موظفين سابقين، هو مورّد قد تُستبدل مكوّناته دون أن يُكشف ذلك.
- عدم تقييم عدم قابلية السجل للتعديل إلى جانب توقيع المكوّنات البرمجية
- سلامة التحكم في الوصول إلى السجل: حسابات الموظفين السابقين وصلاحيات الكتابة المفرطة
- عزل نطاقات الأسماء: إدارة الوصول إلى نطاق أسماء الإنتاج
- تسجيل التدقيق على مستوى السجل: من نزّل ماذا ومن رفع ماذا، ومتى
- التحقق من سلامة المكوّنات البرمجية بما يتجاوز التوقيع: تثبيت قيم التجزئة
كيف تبدو الممارسة الجيدة
تطبّق برامج أمن سجلات المكوّنات البرمجية الناضجة عدم القابلية للتعديل على مكوّنات الإنتاج المنشورة، وتفرض التحكم في الوصول وفق مبدأ الحد الأدنى من الصلاحيات مع إدارة دورة الحياة لجميع حسابات السجل، وتفعّل التسجيل الشامل للتدقيق لعمليات السجل، وتستكمل التحقق من توقيع المكوّنات بتثبيت قيم التجزئة الذي يكشف الاستبدال على مستوى السجل.
- نشر المكوّنات البرمجية على نحو غير قابل للتعديل: لا كتابة فوقها بعد النشر
- إدارة دورة حياة الوصول إلى السجل: متكاملة مع إنهاء خدمة الهويات
- مراجعة الوصول إلى نطاق أسماء الإنتاج: كل ربع سنة على الأقل
- تسجيل شامل للتدقيق: تسجيل جميع عمليات السجل
- تثبيت قيم التجزئة إلى جانب التحقق من التوقيع: يكشف الاستبدال على مستوى السجل
الأدوات
أمن السجلات: JFrog Artifactory مع سياسات عدم القابلية للتعديل؛ وGitHub Packages، وAWS ECR مع سياسات دورة الحياة والوصول
توفر سجلات المكوّنات البرمجية المؤسسية سياسات قابلة للضبط لعدم القابلية للتعديل تمنع الكتابة فوق المكوّنات بعد نشرها. ويمكن لسياسات المستودعات في JFrog Artifactory فرض عدم القابلية للتعديل على مستوى نطاق الأسماء. ويوفر AWS ECR إعدادات لعدم قابلية الصور للتعديل تمنع الكتابة فوق الوسوم. وبالنسبة لممارسي TPRM، يوفر السؤال عمّا إذا كان سجل المكوّنات لدى المورّد يفرض عدم القابلية للتعديل على مكوّنات الإنتاج المنشورة سؤالًا محددًا عن أمن السجل.
تحديات الحوكمة
يتمثل تحدي الحوكمة في أمن سجلات المكوّنات البرمجية في مشكلة تراكم الصلاحيات. فالوصول إلى السجل يُمنح عادةً عند الطلب ونادرًا ما يُراجَع استباقيًا. والمراجعات الربعية للوصول التي تقارن صلاحيات الوصول الحالية إلى السجل بسجلات الموظفين وحسابات الخدمة النشطة هي آلية الحوكمة التي تمنع تراكم صلاحيات الكتابة اليتيمة.
- طبّق عدم قابلية المكوّنات البرمجية للتعديل في نطاقات أسماء الإنتاج
- ادمج الوصول إلى السجل مع دورة حياة الهويات: إنهاء الخدمة يؤدي إلى إلغاء الوصول إلى السجل
- أجرِ مراجعة ربعية للوصول إلى السجل وقارنها بالحسابات النشطة
- فعّل التسجيل الشامل للتدقيق لجميع عمليات السجل
- استكمل التوقيعات بتثبيت قيم التجزئة للمكوّنات البرمجية الحرجة
إذا كنت فريقًا صغيرًا
اطرح سؤالين محددين بشأن سجل المكوّنات البرمجية لدى أهم مورّدي البرمجيات لديك. الأول: هل يفرض سجل مكوّنات الإنتاج لديكم عدم القابلية للتعديل، أي هل يمكن الكتابة فوق إصدار منشور بمحتوى مختلف؟ والثاني: كم عدد الحسابات التي تملك حاليًا صلاحية الكتابة على نطاق أسماء الإنتاج، ومتى رُوجعت قائمة الوصول هذه آخر مرة؟ يكشف هذان السؤالان خطر الاستبدال في السجل القابل للتعديل وسلامة إدارة الوصول التي تقف وراءه.
- اسأل عمّا إذا كان سجل المورّد يفرض عدم قابلية المكوّنات البرمجية للتعديل
- اطلب العدد الحالي للحسابات التي تملك صلاحية الكتابة وتاريخ آخر مراجعة
- اطلب مراجعة ربعية للوصول إلى سجلات المورّدين الحرجين
- استكمل التحقق من التوقيع بتثبيت قيم التجزئة للمكوّنات البرمجية الحرجة
ما الذي ينبغي اشتراطه
اسأل مباشرةً:
«هل يفرض سجل المكوّنات البرمجية لديكم عدم القابلية للتعديل على إصدارات الإنتاج المنشورة، بما يمنع الكتابة فوقها بعد النشر، ومتى رُوجعت صلاحيات الكتابة على نطاق أسماء الإنتاج لديكم آخر مرة بحثًا عن حسابات ملغاة أو غير ضرورية؟»
ما تتوقعه دليلًا
- تأكيد إعدادات عدم قابلية السجل للتعديل
- سجلات مراجعة الوصول إلى السجل وقائمة الحسابات الحالية
- التكامل مع دورة حياة الهويات في الوصول إلى السجل
- توفر سجلات التدقيق للسجل
ينبغي سؤال المورّد الذي يؤكد توقيع المكوّنات البرمجية عن عدم قابلية السجل للتعديل وعن ضوابط الوصول. فالتوقيع يؤكد المكوّن عند النشر، وعدم القابلية للتعديل يضمن أن المكوّن عند التنزيل هو نفسه المكوّن عند النشر، وضوابط الوصول تحدد من يمكنه استبدال مكوّن قابل للتعديل.
كيف تُثبت ذلك
- تقييم عدم قابلية السجل للتعديل
- سجلات مراجعة الوصول
- التكامل مع دورة حياة الهويات
- تثبيت قيم التجزئة للمكوّنات البرمجية الحرجة
الخلاصة الرئيسية
المكوّن البرمجي: موقَّع. السجل: قابل للتعديل. صلاحية الكتابة: 17 حسابًا. الموظفون السابقون: 3 حسابات لا تزال نشطة. أكّد التوقيع المكوّن عند النشر، لكن السجل القابل للتعديل سمح لأي من الحسابات البالغة 17 حسابًا باستبداله. ولم يكن لحسابات الموظفين السابقين الثلاثة أي مبرر عمل قائم للوصول ولا أي مراقبة قائمة. إن عدم القابلية للتعديل يمنع الاستبدال الصامت، وإدارة دورة حياة الوصول تمنع صلاحيات الكتابة اليتيمة، وتثبيت قيم التجزئة يكشف الاستبدال بصرف النظر عن إعدادات عدم القابلية للتعديل. وهذه الثلاثة جميعها تسدّ الفجوة بين مكوّن موقَّع ومكوّن يصل سليمًا.