clawsec/wiki/ja/security.md at main

mirror of https://github.com/prompt-security/clawsec.git synced 2026-06-13 05:28:02 +03:00

Files

T

David Abutbul b37162a33d feat(i18n): add multilingual wiki scaffolding, language switcher, and… (#212 )

* feat(i18n): add multilingual wiki scaffolding, language switcher, and translation QA pipeline

* docs(readme): adopt picoclaw-style multilingual link bar

* fix(i18n): repair localized index links and tighten partial-pair QA

* ci(i18n): fail on broken markdown links in README/wiki

* ci(i18n): add changed-files mode for markdown link checks

* i18n(de): use local Argos MT to fill untranslated German sections

* i18n(es,fr): fill untranslated sections via local Argos workflow

* i18n(ja): fill untranslated sections with scoped local Argos pass

* i18n(ko): fill untranslated sections with scoped local Argos pass

* fix(i18n): address review feedback

---------

Co-authored-by: David Abutbul <David.a@prompt.security>

2026-04-29 09:00:31 +03:00

5.9 KiB

Raw Permalink Blame History

ツイートセキュリティ

##セキュリティモデルの概要

ClawSec は、コンテンツの配布 (署名されたアーティファクト) とランタイムの動作 (管理者のゲート、完全性監視) の両方を保護します。
Trust アンカーは、リポジトリにコミットし、ワークフロー生成された出力に対して検証された公開鍵をピン留めします。
Runtime 消費者は、明示的なマイグレーションバイパスフラグを使用して、検証優先動作にデフォルトでデフォルトで設定します。

暗号化制御

サプライチェーンとCIコントロール

CI実行トリビー、npm 監査、CodeQL、およびスコアカードワークフロー。
gitleaksがインストールされているときにローカルプレパスチェックがgitleaks detectを実行できます。
リリースワークフローは、パッケージの前にSBOMファイルの存在を検証します。
ワークフローをデプロイすると、生成された署名キーフィンガープリントをキャノンキー素材に対して検証します。
リリースドキュメントには、ダウンストリームの消費者向けの手動検証コマンドが含まれます。

インシデントとローテーションの Playbooks

wiki/security-signing-runbook.mdは、キー生成、クラスト、回転、およびインシデントフェーズを定義します。
wiki/migration-signed-feed.mdは段階的な執行およびロールバックのレベルを定義します。
ロールバックパスは、署名された公開を優先順位付けし、可能かつ任意のバイパスをタイムボックス化します。

サンプルスニペット

# verify canonical public key fingerprint
openssl pkey -pubin -in clawsec-signing-public.pem -outform DER | shasum -a 256

# run repo key-consistency guardrail used in CI
./scripts/ci/verify_signing_key_consistency.sh

#既知のセキュリティトレードオフ

符号なしの互換性モードは保証を減らすことができ、移行が完了したら無効にする必要があります。
バックワードの互換性のために署名されていないレガシーチェックサムアセットを許容するパスをいくつかデプロイします。
評判は外的な工具細工の出力に依存し、ヒューリスティック偽陽性/負を含むかもしれません。
ローカルスクリプトは、環境の信頼を継承します。侵害されたローカルシェルは、オペレータのワークフローをサブバートできます。

困難な機会

移行の安定化後に署名されていない互換性フラグを削除します。
すべてのミラーリングされた解放ファイルのための決定的なチェックサム/signatureの確認を拡大して下さい。
ワークフローレベルのシグネチャー障害シナリオに明示的なテストを追加します。
アドバイザリー・フェッチ/検証の失敗に対するランタイムテレメトリーを増加させ、インシデント・トライを簡素化します。

更新ノート

2026-02-26: docs/ファイルをroot wiki/の操作ページ専用の署名とマイグレーションの参照をリセットしました。

ソース参照

セキュリティ.md
wiki/security-signing-runbook.md
wiki/migration-signed-feed.md
スクリプト/ci/verify_signing_key_consistency.sh
.github/actions/sign-and-verify/action.yml
.github/workflows/poll-nvd-cves.yml
.github/workflows/community-advisory.yml
.github/workflows/skill-release.yml
.github/workflows/deploy-pages.yml
スキル/ clawsec-suite/hooks/clawsec-advisory-guardian/lib/feed.mjs
スキル/clawsec-suite/scripts/guarded_skill_install.mjs
スキル/clawsec-clawhub-checker/scripts/enhanced_guarded_install.mjs
スキル/ロシア語/スクリプト/soul_guardian.py
スキル/ clawsec-nanoclaw/host-services/skill-signature-handler.ts
スキル/クローセ・ナンクロー/ガーディアン/積分僧侶。ts

5.9 KiB Raw Permalink Blame History

暗号化制御

サプライチェーンとCIコントロール

インシデントとローテーションの Playbooks

サンプルスニペット

困難な機会

更新ノート

ソース参照

5.9 KiB

Raw Permalink Blame History