github actions ci/cd cosign supply chain security english provenance slsa sigstore
GitHub Attestations and cosign both produce Sigstore signatures. The question is therefore not whether you sign, but who runs the trust infrastructure and who ultimately verifies. Why provenance evidence is needed in the first place is covered in Provenance and SLSA, in Provenance and Attestation, and in enforcing provenance in the cluster with Kyv... mehr auf muellermh.wordpress.com

github actions anleitung ci/cd entwicklung supply chain security cosign provenance slsa sigstore sicherheit
GitHub Attestations oder cosign? Plan-Voraussetzung, Prüfung mit gh attestation verify und drei Kriterien, ab denen ein Wechsel zu cosign lohnt.... mehr auf muellermh.wordpress.com

sicherheit cloud supply chain security infrastructure as code terraform anleitung
Terraform pinnen: .terraform.lock.hcl, Hashes (h1/zh), mehrere Plattformen, Modul-Versionen und die Grenzen des Registry-Vertrauens.... mehr auf muellermh.wordpress.com

gitsign english sigstore commit signing supply chain security git
Sigstore gitsign instead of GPG. Switch your Git config, sign commits keyless via OIDC and verify the signature in your CI pipeline.... mehr auf muellermh.wordpress.com

supply chain security gitsign sigstore sicherheit commit signing anleitung git
Sigstore gitsign statt GPG. Git-Config umstellen, Commits keyless über OIDC signieren und die Signatur in der CI-Pipeline verifizieren.... mehr auf muellermh.wordpress.com

supply chain security vulnerability management entwicklung sicherheit anleitung sbom vex openvex
Ein SBOM listet CVEs, VEX klärt, welche davon wirklich ausnutzbar sind. OpenVEX und vexctl zeigen, wie du False Positives aus Grype- und Trivy-Scans filterst.... mehr auf muellermh.wordpress.com

software composition analysis sicherheit supply chain security entwicklung github advisory database dependency review anleitung github actions
GitHubs Dependency Review Action blockiert Pull Requests mit bekannten Schwachstellen vor dem Merge. Einrichtung, Schwellenwerte und Grenzen im Überblick.... mehr auf muellermh.wordpress.com

kubernetes anleitung kyverno image signing admission control supply chain security cosign sicherheit
Ein docker pull prüft nicht, wer ein Image gebaut hat. Er prüft, ob die Registry unter dem angegebenen Namen und Tag etwas ausliefert, das sich herunterladen lässt. Kubernetes verhält sich beim Deployment genauso: das Kubelet zieht das Image, das im Pod-Spec steht, unabhängig davon, ob es aus deiner eigenen Pipeline stammt oder von jemandem, der [&... mehr auf muellermh.wordpress.com

git ci/cd github actions anleitung devops oidc sicherheit entwicklung supply chain security
GitHub Actions sind praktisch und genau deshalb gefährlich. Ein Workflow läuft mit Token, hat Zugriff aufs Repository und zieht oft fremden Code aus dem Marketplace, ohne dass jemand genau hinschaut. Wer eine Action per Tag einbindet, vertraut darauf, dass hinter diesem Tag morgen noch derselbe Code steckt. Das muss nicht so sein. Hier sind drei [&... mehr auf muellermh.wordpress.com

devsecops sicherheit grype allgemein cloud supply chain security ci/cd docker syft sbom anleitung
Auf dem digital-business.blog habe ich beschrieben, warum 2026 kaum eine Software-Firma mehr ohne SBOM auskommt. Die logische Anschlussfrage ist: Wie erzeugt man so eine Software-Stückliste eigentlich, ohne sich ein teures Tool ins Haus zu holen? Hier zeige ich den schlanken Weg mit zwei freien Werkzeugen: Syft erzeugt die SBOM, Grype scannt sie ge... mehr auf muellermh.wordpress.com

kyverno kubernetes anleitung provenance sigstore slsa sicherheit cosign supply chain security admission control
Ein Cluster ohne Admission Policy zieht jedes Image, das du ihm gibst. kubectl apply oder helm install prüfen nur, ob die Referenz auflösbar ist, nicht wer sie gebaut hat. imagePullPolicy entscheidet, ob ein Image erneut gezogen wird, nicht ob dem Absender zu trauen ist. Ein kompromittiertes Registry-Credential, ein vertipptes Tag, das zufällig auf... mehr auf muellermh.wordpress.com

sicherheit devops container supply chain security entwicklung docker distroless anleitung
Ein typisches Container-Image schleppt ein komplettes Linux-System mit sich herum, obwohl die eigentliche Anwendung oft nur eine einzige Binärdatei ist. Jedes Paket darin ist potenzielle Angriffsfläche und Wartungslast. Wer Images härtet, reduziert beides gleichzeitig. Drei Hebel bringen dabei den größten Effekt: Multi-Stage Builds, distroless Base... mehr auf muellermh.wordpress.com

entwicklung supply chain security devops sicherheit caching github actions anleitung ci/cd
Caching ist der einfachste Weg, eine Pipeline schneller zu machen. Man setzt drei Zeilen in den Workflow, die Build-Zeit halbiert sich, niemand fragt nach. Genau deshalb ist der Cache eine der am wenigsten geprüften Stellen in CI/CD. Er ist ein beschreibbarer, geteilter Speicher, der zwischen zwei Läufen Daten transportiert. Wer da hineinschreiben ... mehr auf muellermh.wordpress.com

anleitung docker ci/cd buildkit supply chain security secrets management sicherheit
Wer in einem Docker-Build einen Token braucht, greift schnell zu ARG und --build-arg. Das funktioniert, hat aber einen Haken: der Wert landet in der Build-Historie und oft auch in einem Layer. Wer das Image später zieht, kann ihn auslesen. BuildKit löst das mit Secret-Mounts, die nur zur Build-Zeit sichtbar sind und in keinem Layer stehen. […... mehr auf muellermh.wordpress.com

entwicklung supply chain security cosign container devsecops sicherheit sigstore signing anleitung docker
Eine Software Bill of Materials sagt, was in einem Image steckt. Sie sagt aber nicht, wer es gebaut hat und ob unterwegs jemand etwas ausgetauscht hat. Genau diese Lücke schließt eine Signatur. Wer Container-Images in eine Registry schiebt und sie später deployt, sollte beides haben: eine Stückliste und einen Nachweis der Herkunft. cosign aus dem [... mehr auf muellermh.wordpress.com

provenance sicherheit slsa sigstore entwicklung supply chain security github actions anleitung
Eine SBOM beantwortet die Frage, was in einem Artefakt steckt. Sie beantwortet aber nicht die Frage, wie das Artefakt entstanden ist. Genau diese Lücke füllt Provenance. Eine Provenance-Attestierung ist ein signierter Nachweis darüber, aus welchem Quellcode, mit welchem Build-System und mit welcher Konfiguration ein Artefakt gebaut wurde. Wer ein C... mehr auf muellermh.wordpress.com

supply chain security entwicklung cyclonedx grype sicherheit anleitung sbom syft
Ein SBOM sagt dir, was in einem Artefakt steckt. Wirklich nützlich wird es aber selten beim einzelnen Stand, sondern beim Vergleich. Was hat sich zwischen Release 1.4.0 und 1.5.0 in der Lieferkette geändert? Welche Abhängigkeit ist dazugekommen, welche ist rausgeflogen, welche wurde still auf eine neue Version gehoben? Genau das beantwortet ein SBO... mehr auf muellermh.wordpress.com