SLSA

Définition

SLSA (Supply-chain Levels for Software Artifacts, prononcé "salsa") est un framework de sécurité de la supply chain logicielle développé initialement par Google et maintenant géré par l'OpenSSF (Open Source Security Foundation). SLSA définit quatre niveaux de maturité (L1 à L4) représentant un ensemble progressif de pratiques et de garanties permettant aux consommateurs d'évaluer la fiabilité du processus de production d'un artefact logiciel. SLSA répond à une question fondamentale : comment un consommateur peut-il faire confiance non seulement au contenu d'un binaire ou d'une image Docker, mais aussi au processus qui l'a produit ? La chaîne de confiance doit couvrir l'ensemble du pipeline, depuis le code source jusqu'à l'artefact publié, incluant le système de build, les dépendances du build, et la publication. Les quatre niveaux SLSA définissent des garanties progressives. SLSA L1 (Documentation de la provenance) : le producteur génère une provenance documentant l'artefact, sa source, et son builder — mais cette provenance n'est pas nécessairement signée ou vérifiée. SLSA L2 (Provenance signée) : la provenance est signée par l'infrastructure de build sur un système hébergé, rendant difficile la falsification après coup. SLSA L3 (Provenance vérifiée par un builder de confiance hermétique) : le build est exécuté dans un environnement hermétique (sans accès non contrôlé à l'extérieur), les dépendances de build sont déclarées et vérifiées, et la provenance est générée et signée par le Trusted Builder lui-même. SLSA L4 (Vérification indépendante à deux parties, builds hermétiques et reproductibles) : niveau maximal, requiert une vérification indépendante par deux parties distinctes et des builds reproductibles. La combinaison SLSA + Sigstore (Cosign + Rekor + Fulcio) est l'implémentation recommandée pour les projets GitHub et GitLab : les attestations SLSA sont générées par le slsa-github-generator (Trusted Builder officiel), signées via Cosign keyless, et vérifiables avec slsa-verifier.