SLSA Framework

Définition

SLSA, pour Supply chain Levels for Software Artifacts, est un framework de sécurité de la chaîne d'approvisionnement logicielle initié par Google puis transféré à l'Open Source Security Foundation (OpenSSF), définissant quatre niveaux de maturité progressifs, de SLSA 1 à SLSA 4, pour garantir l'intégrité des artefacts logiciels produits, de la construction du code à sa distribution finale. Le niveau 1 exige une documentation minimale du processus de build, le niveau 2 impose l'usage d'un système de build authentifié générant une attestation de provenance signée, le niveau 3 renforce l'isolation de l'environnement de build pour empêcher toute altération pendant le processus, et le niveau 4 requiert une revue à deux personnes de chaque changement ainsi qu'un build hermétique totalement reproductible. Le framework répond directement aux incidents majeurs de chaîne d'approvisionnement logicielle, comme la compromission de SolarWinds, en garantissant que l'artefact final livré correspond bien au code source revu et non à une version altérée injectée durant la chaîne de build ou de distribution. SLSA s'appuie techniquement sur des attestations de provenance signées cryptographiquement, souvent au format in-toto, et s'articule avec d'autres initiatives comme Sigstore pour la signature d'artefacts et les SBOM pour l'inventaire des composants, formant un socle cohérent de sécurisation de la supply chain DevSecOps.