zammad-opencode-build

Zammad, selbst gebaut aus dem openCode-Spiegel mit signierter Lieferkette, als Vergleichsfall zum bezogenen Image.

🛠️🚧❓Security-Advice: Die Inhalte dieses Repositorys sind Ergebnisse und Gegenstand von Tests und Veränderungen. Sie können deshalb nur in diesem Sinne verwendet werden.

Texte zwischen den Bot-Markern 🤖▶️ und 🤖◀️ können KI-generierte Bestandteile enthalten.

🤖▶️

Entstanden im ZKI-Arbeitskreis Informationssicherheit als eine von zwei Varianten desselben Ticketsystems. Diese baut das Image selbst aus dem openCode-Spiegel zammad/zammad am festen Commit, mit der Bauanleitung des Herstellers und Basis-Images per Digest, und versieht es auf openCode mit Signatur, SBOM, VEX und SLSA-Provenance. Die andere (zammad-1) bezieht das Image vom Hersteller. Betrieb und Härtung sind gleich; VERGLEICH.md zeigt, was der eigene Bau an belegbaren Aussagen bringt.

Was offen ist, steht in RESTRISIKEN.md, vor allem: Der Bau ist nicht bitgleich wiederholbar, weil die Bauanleitung zur Bauzeit Pakete aktualisiert.

🤖◀️