Seminar Alpine Linux Security Packaging: Keys, Checksums und Vertrauenskette

Überblick

Das Seminar konzentriert sich auf Sicherheitsaspekte im Alpine-Paketbau. Behandelt werden Signaturschlüssel, Checksummen, Patch-Vertrauen, Build-Umgebungen, Paketfreigaben und die Frage, wie viel Vertrauen ein Paketstand tatsächlich verdient.

Zielgruppe

Security-Teams, Paketmaintainer, Plattformteams und Administratoren, die interne Pakete mit überprüfbarer Vertrauenskette bereitstellen müssen.

Voraussetzungen

Grundlagen von Linux, Paketmanagement und abuild. Sicherheitsgrundwissen ist hilfreich.

Inhaltsübersicht

• Vertrauenskette im Paketbau
• Keys und Signaturen
• Checksummen, Quellen und Patches
• Supply-Chain-Kontrollen operationalisieren

Seminarinhalte

Kapitel 1: Vertrauenskette im Paketbau

Inhaltsverzeichnis dieses Kapitels: Quelle, APKBUILD, Build-Umgebung und Repository als Kette darstellen; Vertrauensgrenzen und Verantwortlichkeiten markieren; Manipulationspunkte im Prozess identifizieren; Prüfschritte pro Prozessstufe definieren

1. Schritt 1: Quelle, APKBUILD, Build-Umgebung und Repository als Kette darstellen
2. Schritt 2: Vertrauensgrenzen und Verantwortlichkeiten markieren
3. Schritt 3: Manipulationspunkte im Prozess identifizieren
4. Schritt 4: Prüfschritte pro Prozessstufe definieren

Kapitel 2: Keys und Signaturen

Inhaltsverzeichnis dieses Kapitels: Schlüsselarten und Einsatzbereiche unterscheiden; Schlüssel für Paket- und Indexsignierung vorbereiten; Signaturen auf Testsystemen prüfen; Schlüsselwechsel und Schlüsselverlust organisatorisch behandeln

1. Schritt 1: Schlüsselarten und Einsatzbereiche unterscheiden
2. Schritt 2: Schlüssel für Paket- und Indexsignierung vorbereiten
3. Schritt 3: Signaturen auf Testsystemen prüfen
4. Schritt 4: Schlüsselwechsel und Schlüsselverlust organisatorisch behandeln

Kapitel 3: Checksummen, Quellen und Patches

Inhaltsverzeichnis dieses Kapitels: Quellarchive und Checksummenänderungen bewerten; Patches nach Herkunft, Zweck und Risiko sortieren; Unklare Änderungen zur Prüfung markieren; APKBUILD erst nach nachvollziehbarer Prüfung freigeben

1. Schritt 1: Quellarchive und Checksummenänderungen bewerten
2. Schritt 2: Patches nach Herkunft, Zweck und Risiko sortieren
3. Schritt 3: Unklare Änderungen zur Prüfung markieren
4. Schritt 4: APKBUILD erst nach nachvollziehbarer Prüfung freigeben

Kapitel 4: Supply-Chain-Kontrollen operationalisieren

Inhaltsverzeichnis dieses Kapitels: Clean Build und Artefaktprüfung verbinden; Protokolle und Paketstände revisionssicher ablegen; Freigaberegeln mit technischen Prüfungen koppeln; Checkliste für wiederkehrende Paketfreigaben erstellen

1. Schritt 1: Clean Build und Artefaktprüfung verbinden
2. Schritt 2: Protokolle und Paketstände revisionssicher ablegen
3. Schritt 3: Freigaberegeln mit technischen Prüfungen koppeln
4. Schritt 4: Checkliste für wiederkehrende Paketfreigaben erstellen

Praxisübungen

• Erstellung und Prüfung von Signaturschlüsseln für den Paketbau
• Analyse von Checksummenänderungen und Quellwechseln
• Prüfung eines Patch-Satzes vor Paketfreigabe
• Entwurf einer Freigabecheckliste für interne Pakete