SLSA（サプライチェーンレベル） とは？

ソフトウェアのビルドや配布プロセスがどれだけ安全かを評価するフレームワークだよ。「スルサ」と読むんだ。Googleが提唱してOpenSSFという業界団体が管理しているよ。

2020年のSolarWinds事件みたいに、ソフトウェアのビルドパイプラインに攻撃者が侵入して悪意あるコードを混入させる「サプライチェーン攻撃」が増えているからだよ。自分のコードが安全でもビルドプロセスが汚染されたら危ない、という問題への答えだね。

Level 1から3まで段階があって、数字が大きいほどより厳しい要件を満たしているよ。Level 1はビルド手順を文書化する程度だけど、Level 3になると改ざん防止された専用の隔離環境でビルドすることが求められるんだ。

ビルドの出どころ情報のことだよ。「このソフトウェアは、このリポジトリのこのコミットを、このビルドシステムでビルドした」という記録を署名付きで残すんだ。改ざんされていないことを第三者が検証できる証拠になるね。

GitHub Actionsなら公式のSLSAジェネレーターアクションがあって、ビルド時に自動で来歴ファイルを生成してくれるよ。npmやGoなどのパッケージエコシステムでもSLSA準拠の来歴を提供する動きが広がっているね。

必ずしもそうじゃないよ。重要なインフラや広く使われるOSSライブラリはLevel 3が望ましいけど、社内ツールや影響範囲が小さいものはLevel 1〜2でも実用十分だね。リスクに見合ったレベルを選ぶのが現実的な使い方だよ。