Wolfi és una distribució de programari GNU lleugera que està dissenyada al voltant del minimalisme, cosa que la fa adequada per a entorns en contenidors
Si ets d'aquells que treballa força amb contenidors, puc recomanar-te la lectura del següent article on parlarem sobre Wolfi OS, la qual és una nova distribució comunitària de Linux que combina els millors aspectes de les imatges base de contenidors existents amb mesures de seguretat predeterminades que inclouran firmes de programari impulsades per Sigstore, procedència i llistes de materials de programari.
Wolfi US és una distribució simplificada dissenyada per a l'era nativa del núvol. No teniu un nucli propi, sinó que depèn de l'entorn (com el temps d'execució del contenidor) per proporcionar-ne un. Aquesta separació de preocupacions a Wolfi vol dir que és adaptable a una varietat d'entorns.
Sobre Wolfi US
Al seu repositori a GitHub podrem trobar que:
Chainguard va iniciar el projecte Wolfi per permetre la creació de Chainguard Images, la nostra col·lecció d'imatges sense distribució seleccionades que compleixen els requisits d'una cadena de subministrament de programari segura. Això requeria una distribució de Linux amb components en la granularitat adequada i amb suport tant per a glibc com per a cuixa, cosa que encara no estava disponible a l'ecosistema de Linux nadiu del núvol.
A més s'esmenta que Wolfi, el nom del qual es va inspirar en el pop més petit del món, té algunes característiques clau que el diferencien d'altres distribucions que s'enfoquen en entorns nadius de núvol/contenidors:
- Proporciona un SBOM de temps de compilació d'alta qualitat com a estàndard per a tots els paquets
- Els paquets estan dissenyats per ser granulars i independents, per admetre imatges mínimes
- Utilitza el format de paquet apk provat i fiable
- Sistema de compilació totalment declaratiu i reproduïble
- Dissenyat per suportar glibc i musl
Cal esmentar que Wolfi OS és una distribució de Linux dissenyada des de zero, és a dir no es basa en cap altra distribució existent i té la finalitat d'admetre paradigmes informàtics més nous, com els contenidors.
Encara Wolfi té alguns principis de disseny similars als d'Alpine (com l'ús d'apk), és una distribució diferent que s'enfoca a la seguretat de la cadena de subministrament. A diferència d'Alpine, Wolfi actualment no crea el seu propi nucli de Linux, sinó que confia en l'entorn del host (per exemple, un temps d'execució de contenidor) per proporcionar-ne un.
I és que per al creador de Wolfi la seguretat de la cadena de subministrament de programari és única, ja que esmenta que té molts tipus diferents datacs que poden apuntar a molts punts diferents en el cicle de vida del programari. No podeu simplement prendre una peça de programari de seguretat, encendre-la i protegir-se de tot.
“Ens referim a Wolfi com un udistre perquè no és una distribució completa de Linux dissenyada per executar-se en bar-metall, sinó una distribució simplificada dissenyada per a l'era nativa del núvol. El més notable és que no incloem un nucli de Linux, sinó que confiem en l'entorn (com el temps d'execució del contenidor) per proporcionar-lo”, va dir Dan Lorenc, director executiu de Chainguard.
“A més, les distribucions de Linux en si mateixes normalment només distribueixen versions estables de programari durant llargs períodes de temps, mentre que els desenvolupadors que instal·len programari estan (novament) fent instal·lacions manuals per obtenir les darreres versions, o la majoria de les versions recent pegats. Com a resultat, hi ha una gran desconnexió entre el que els escàners poden detectar a través de CVE de seguretat de la cadena de subministrament de programari i el que realment existeix a lentorn típic.
Wolfi pren imatges de contenidors base constantment actualitzades que apunten a vulnerabilitats conegudes zero, per eliminar aquest retard entre les distribucions comunes i les imatges de contenidors, i els usuaris que executen imatges amb vulnerabilitats conegudes. Wolfi tanca aquesta bretxa assegurant-se que les imatges del contenidor tinguin informació de procedència (d'on provenen les imatges i assegurant-se que no s'alterin) i fa que la generació de SBOM sigui una cosa que pot passar durant el procés de construcció, i no al final.
Finalment si estàs interessat a poder conèixer més sobre això sobre aquest nou llançament, pots consultar els detalls a el següent enllaç.