SLSA

Identity

• slsa.devは、SLSA（Supply-chain Levels for Software Artifacts、「salsa」）を、改ざんを防ぐための標準とコントロールのチェックリストであるセキュリティフレームワークと説明する。クロス組織・ベンダー中立の運営グループが主導し、同ページはChainguard、Citi、CNCF、Datadog、Google、IBM、Intel、Kusari、Linux Foundation、Red Hatのロゴを掲載している。検証待ち SLSA • Supply-chain Levels for Software Artifacts
• SLSAのGitHubリポジトリのREADMEは、SLSAをOpenSSFのプロジェクトと説明する。Community Specificationのガバナンス採用後に寄稿された仕様内容はCommunity Specification License 1.0の下にあり、それ以前の部分の一部はApache License 2.0で提供される。リリース済みの仕様は、releases/v1.2のような対応するリリースブランチに保管される。検証待ち GitHub - slsa-framework/slsa: Supply-chain Levels for Software Artifacts · GitHub

Capability

• SLSA仕様のバージョン1.2（ステータスはApproved）は、サプライチェーンセキュリティを記述し段階的に改善するための仕様で、Build TrackとSource Trackを持つ。ビルド側のTrackは、改ざんされていないことと出所を追跡できることへの保証が段階的に高まるレベルで構成される。検証待ち SLSA • SLSA specification
• GitHubの公式ブログ（2024年12月19日公開、12月20日更新）によれば、GitHubホステッドランナー上でGitHub Artifact Attestationsを使うと既定でSLSAレベル2に達し、来歴生成を再利用可能ワークフローに移すことがレベル2とレベル3の決定的な差であるとされる。検証待ち Enhance build security and reach SLSA Level 3 with GitHub Artifact Attestations（GitHub Blog）

Credibility

• slsa.devは、SLSA（Supply-chain Levels for Software Artifacts、「salsa」）を、改ざんを防ぐための標準とコントロールのチェックリストであるセキュリティフレームワークと説明する。クロス組織・ベンダー中立の運営グループが主導し、同ページはChainguard、Citi、CNCF、Datadog、Google、IBM、Intel、Kusari、Linux Foundation、Red Hatのロゴを掲載している。検証待ち SLSA • Supply-chain Levels for Software Artifacts
• セキュリティ企業Trail of Bitsのブログ（2024年10月1日付、Cliff Smith）は、SLSAを、オープンソースソフトウェア成果物の作成過程を利用者が検証できるようにするセキュリティ標準と説明し、SLSA 1.0のビルドレベル1〜3を解説している。同記事は、SLSAは比較的新しい標準（v1.0は2023年4月）で、利点は多くの関係者の採用に依存し、運用方法は各パッケージ管理システムに委ねられると指摘する。検証待ち Securing the software supply chain with the SLSA framework（Trail of Bits）

Use Case

• GitHubの公式ブログ（2024年12月19日公開、12月20日更新）によれば、GitHubホステッドランナー上でGitHub Artifact Attestationsを使うと既定でSLSAレベル2に達し、来歴生成を再利用可能ワークフローに移すことがレベル2とレベル3の決定的な差であるとされる。検証待ち Enhance build security and reach SLSA Level 3 with GitHub Artifact Attestations（GitHub Blog）

Constraints / Current Status

• SLSAの公式ブログ（2025年11月24日付）は、SLSA v1.2のリリースを発表し、Source Trackの導入を「major milestone」と位置づけた。v1.2はv1.1と後方互換で、次にBuild Environment TrackとDependency Trackの開発が続くとされる。検証待ち Announcing SLSA v1.2
• SLSAのGitHubリポジトリのREADMEは、SLSAをOpenSSFのプロジェクトと説明する。Community Specificationのガバナンス採用後に寄稿された仕様内容はCommunity Specification License 1.0の下にあり、それ以前の部分の一部はApache License 2.0で提供される。リリース済みの仕様は、releases/v1.2のような対応するリリースブランチに保管される。検証待ち GitHub - slsa-framework/slsa: Supply-chain Levels for Software Artifacts · GitHub
• セキュリティ企業Trail of Bitsのブログ（2024年10月1日付、Cliff Smith）は、SLSAを、オープンソースソフトウェア成果物の作成過程を利用者が検証できるようにするセキュリティ標準と説明し、SLSA 1.0のビルドレベル1〜3を解説している。同記事は、SLSAは比較的新しい標準（v1.0は2023年4月）で、利点は多くの関係者の採用に依存し、運用方法は各パッケージ管理システムに委ねられると指摘する。検証待ち Securing the software supply chain with the SLSA framework（Trail of Bits）

Key References

• なぜサプライチェーンセキュリティでSLSAが参照されるのですか？
• SLSAの信頼性や採用状況は、どの出典で確認できますか？
• SLSA（Supply-chain Levels for Software Artifacts）とは何ですか？

Related

• OpenSSF— SLSAのGitHubリポジトリのREADMEは、SLSAをOpenSSFのプロジェクトと説明している（OpenSSF側のプロジェクト成熟度は未確認）。
• Software Supply Chain Security— SLSAの仕様v1.2は、サプライチェーンセキュリティを記述し段階的に改善するための仕様として示されている。