Docker und ActiveState erweitern vertrauenswürdige Sicherheit auf Open-Source-Pakete

Sicherheit auf beiden Ebenen der Lieferkette

Docker Hardened Images bilden die Grundlage der Partnerschaft. Nach Angaben von Docker sind die Images als Open Source unter Apache 2.0 verfügbar und Teil eines Katalogs mit mehr als 4.000 minimalen Images, die aus dem Quellcode erstellt und von Docker kontinuierlich gepflegt werden. Der Katalog umfasst außerdem anpassbare Helm-Charts und mehr als 65.000 gehärtete Systempakete.

Die Images sollen Schwachstellen reduzieren, die aus einer Container-Grundlage übernommen werden. Dafür entfernt Docker unnötige Pakete, erstellt Komponenten aus dem Quellcode neu und pflegt die Images kontinuierlich. Jedes Image enthält eine signierte SBOM und einen Herkunftsnachweis nach SLSA Build Level 3 sowie eine vollständige, nicht unterdrückte Sichtbarkeit von CVEs. Bezahlte Tarife bieten zusätzlich eine SLA von 7 Tagen für kritische und hohe CVEs sowie FIPS- und STIG-Varianten und sichere Anpassungsmöglichkeiten.

Docker zufolge waren die Images nicht betroffen, als die TeamPCP-Kampagne im März einen weithin vertrauenswürdigen Sicherheitsscanner für Angriffe missbrauchte. Nach Angaben des Unternehmens verhinderten die kontrollierte Build-Pipeline und Abkühlzeiten für Abhängigkeiten, dass kompromittierte Artefakte aus vorgelagerten Quellen während dieses Angriffsfensters in den Image-Build-Prozess gelangten.

ActiveState kontrolliert Anwendungsabhängigkeiten

Der Curated Catalog von ActiveState deckt die Anwendungsebene oberhalb des Basis-Images ab. Dabei handelt es sich um ein privates, durch Richtlinien kontrolliertes Repository, das ausschließlich von einem Team genehmigte Open-Source-Komponenten enthält. ActiveState kompiliert jede Komponente aus dem ursprünglichen Quellcode in einer Umgebung nach SLSA Level 3 und stellt vollständige Herkunftsnachweise sowie komplette SBOMs bereit, anstatt auf vorkompilierte Binärdateien aus öffentlichen Registries zurückzugreifen.

Sobald eine Korrektur aus der vorgelagerten Quelle verfügbar ist, erstellt ActiveState die Komponente automatisch neu und veröffentlicht sie im Katalog. Die angegebenen Ziele für die Behebung von Schwachstellen liegen bei 5 Geschäftstagen für kritische CVEs und 10 Tagen für hohe CVEs.

Die Integration soll bestehende Entwicklungsabläufe erhalten. Ein Artefakt-Repository wie Artifactory oder Nexus kann den Curated Catalog als vorgelagerte Quelle nutzen, während Entwickler weiterhin mit den vertrauten pip- und npm-Abläufen arbeiten. KI-Coding-Assistenten erhalten die kontrollierten Versionen der Pakete, anstatt direkt auf öffentliche Registries zuzugreifen.

Eine kontrollierte Quelle für Entwickler und KI-Agenten

Docker zufolge bietet das kombinierte Angebot Sicherheitsteams eine konsistente Beweiskette vom gehärteten Image bis zu den darauf erstellten Paketen. Beide Ebenen verfügen über Herkunftsnachweise, SBOMs und eine SLA für die Behebung von Schwachstellen. Dadurch ist klarer geregelt, wer für die Behebung von Sicherheitslücken zuständig ist.

Die Partnerschaft ersetzt weder angeheftete Digests und Abkühlzeiten noch die von Docker-CISO Mark Lechner empfohlenen abgeschotteten Agenten. Stattdessen stellt sie eine kontrollierte Quelle für diese Maßnahmen bereit. Docker verkauft den ActiveState Curated Catalog nun gemeinsam mit Docker Hardened Images weiter, während ActiveState DHI an seine Kunden weiterverkauft. Beide Angebote sind über Docker erhältlich.

Die Vereinbarung entspricht dem erklärten Ziel von Docker, sichere Standardeinstellungen verfügbar zu machen, während KI-Coding-Agenten Software immer schneller erzeugen. Diese Agenten können Anwendungen erstellen, Abhängigkeiten auswählen und Builds anstoßen. Dadurch werden die Pakete, die sie verwenden dürfen, zu einem zentralen Bestandteil der Sicherheit der Lieferkette.