Veilige updates

Hoe Roasthubs-edgesoftware vandaag wordt bijgewerkt en wat nog moet voor bijlage I deel II §§7–8. Operationeel detail: rhsos-infra/docs/secure-update-policy.md. Dit is geen ondertekend bijlage-II-blad “updates toepassen”.

Huidige werking

1. Applicatie-images staan in AWS ECR (eu-west-1, repository roasthubs-os).
2. De edgehost authenticert met een kortlevend ECR-token (max. 24 uur).
3. deploy.sh back-upt de database naar S3, vergelijkt de digest van de draaiende image met de remote digest voor tag {staging-}latest en trekt bij verschil die zwevende tag, maakt de container roasthubs opnieuw, legt versie en digest vast en herstart de stack.
4. Compose pint geen onveranderlijke digests. De digestcheck bepaalt alleen of :latest wordt getrokken.
5. Er is geen geautomatiseerde rollback. Herstel via een eerdere ECR-digest/tag plus S3-databaserestore indien nodig.

CRA-verwachting (gewone taal)

Thema	Verwachting
Deel II §7	Kwetsbaarheden identificeren, beoordelen en verhelpen; updates veilig verspreiden.
Deel II §8	Beveiligingsupdates tijdens een vastgelegde supportperiode; securityfixes in dat venster zonder extra kosten; tijdige levering en communicatie; waar mogelijk los van features.

Gaten (6 okt. 2026)

• Image-digests pinnen in compose/deploy.
• Eerste Cosign-ondertekende image uitrollen (ALLOW_UNSIGNED_IMAGE=1 alleen voor eerdere images).
• Securityreleases scheiden van featurereleases (advisoryproces: security-advisories).
• Gedocumenteerde rollback naar een vorige digest.
• Gepubliceerde einddatum van de supportperiode (nog concept).

Kwetsbaarheden melden: melding van kwetsbaarheden. Advisories: security-advisories.