Materialliste

fremforge er bevisst åpen om verktøyene under hver kontroll. Kunder som gjennomgås etter BSI C5, ISO 27001, BaFin eller ENISA-regulering trenger revisjonssporet ned på verktøynivå, og vi vil heller at du kan grep-e i kildekoden vår enn at du må dekonstruere en svart boks.

Denne siden er den autoritative oversikten. Den kortere tabellen i oversikten over sikkerhetsfunksjoner er et utvalg for rask referanse; denne er den fullstendige oversikten – versjoner, hentekilder, hvor hver komponent kjører, attesteringen for forsyningskjeden som følger med, og lisensen.

Integritet i forsyningskjeden

Hver avhengighet, hvert containerimage og hver binærfil i denne oversikten følger fremforges regel for kontakt med upstream:

• Kode som ligger på GitHub hentes via Forgejos innebygde pull-speil på frem.sh/<canonical-org>/<repo> (synkronisering hver 8. time). Kundeworkflower som løser opp uses: actions/checkout@v4, treffer frem.sh/actions/checkout – ingen direkte henting fra github.com i kundens kritiske sti.
• Containerimager (docker.io / ghcr.io / quay.io / public.ecr.aws) bufres via et internt speil i EU. Produksjonsmanifester refererer aldri direkte til et upstream-register.
• Release-binærfiler som ikke leveres som OCI (for eksempel opengrep, cosign) pakkes i små buffer-imager som serveres fra det samme interne speilet i EU. Renovate følger upstream-versjonen av GitHub-releasen og åpner en ukentlig PR med versjonsløft.

CI sjekker Dockerfile-er og manifester for referanser som ville gått utenom speilet, slik at hver upstream-avhengighet løses opp gjennom bufferen i EU i stedet for direkte fra et offentlig register.

CI og verktøy for forsyningskjeden

Deteksjonsinnhold

Reglene, sårbarhetsdatabasene og skadevaresignaturene skannerne matcher mot. Hver av dem er låst eller oppdateres med rytmen som er oppgitt, og ingen hentes av en skanning mens den kjører.

Plattformgrunnlag

Hver leverandør på listen er kontraktsfestet til EU, uten amerikansk underdatabehandler i dataflyten. Hele databehandleravtalen (DPA) og underdatabehandlerkjeden står på tillitssiden.

Det vi bevisst ikke bruker

Slik bruker du materiallisten i din egen revisjonspakke

For anbudssvar eller leverandørspørreskjemaer: lenk direkte til denne siden. URL-en er stabil: https://docs.frem.sh/security/bill-of-materials/.

For dokumentasjon til BSI C5 eller ISO 27001: be security@frem.sh om et datert PDF-øyeblikksbilde. Vi kan også lage en SBOM i CycloneDX-format for selve plattformen (ikke bare per release) på forespørsel – nyttig for å matche transitive CVE-er.

For løpende verifisering: hver release av hver fremforge-komponent publiserer en CycloneDX-SBOM generert med Syft, og SLSA-L2-proveniensen hos kunden låser digesten til hver attesterte ressurs. Proveniensen er en Ed25519-signert DSSE / in-toto-konvolutt (<asset>.intoto.jsonl); verifiser den mot fremforges publiserte tillitsrot med curl/jq/openssl/python3-oppskriften i SLSA-proveniens.

Avvik: denne materiallisten vedlikeholdes for hånd i dag. Ta kontakt med security@frem.sh hvis du trenger et oppdatert øyeblikksbilde før en revisjon.

Relatert

• Tillitssiden – databehandleravtale, liste over underdatabehandlere, compliance-attesteringer.
• Tredjepartsmerknader for runner-imaget – lisensmerknader, tilbudet om kildekode for opengrep og kreditering for sårbarhetsdata og skadevaresignaturer.
• Sikkerhetsfunksjoner i korte trekk – hva hvert verktøy faktisk gjør, med direkte lenker.
• SBOM-er – hvordan SBOM-er i CycloneDX/SPDX genereres hos kunden.
• SLSA-proveniens – hvordan publiseringsattesteringen signeres på serveren med plattformens Ed25519-nøkkel, hvordan du verifiserer den, og hvorfor den bevisst ikke beskrives som et SLSA-nivå.
• Sårbarhetsrapportering – security@frem.sh, SLA på 24 t for bekreftelse.