Chainguard vs. Docker Hardened Images

Ja. Mit Custom Assembly können Sie jedem Image Pakete und Zertifikate hinzufügen (über 30.000 Pakete verfügbar). Benutzerdefinierte Images unterliegen weiterhin der CVE-Behebungs-SLA von Chainguard, wenn Pakete aus berechtigten Images verwendet werden (Wolfi OSS-Pakete, die nicht durch ein kostenpflichtiges Image unterstützt werden, sind nicht durch die SLA abgedeckt, und das FIPS-Versprechen gilt nicht für benutzerdefinierte Images).

Ja. Das vertragliche SLA garantiert die Behebung kritischer CVEs innerhalb von 7 Tagen und hoher/mittlerer/niedriger CVEs innerhalb von 14 Tagen. Hier ist die durchschnittliche Behebungszeit von Chainguard in der Praxis, aufgeschlüsselt nach CVE-Schweregrad (basierend auf „The State of Trusted Open Source: Dezember 2025“):

• Kritische CVEs: Durchschnittlich unter 20 Stunden (63,5 % innerhalb von 24 Stunden, 97,6 % innerhalb von 2 Tagen, 100 % innerhalb von 3 Tagen)

• Hohe CVEs: 2,05 Tage im Durchschnitt

• Mittlere CVEs: 2,5 Tage im Durchschnitt

• Niedrige CVEs: 3,05 Tage im Durchschnitt

Chainguard holds its own CMVP certificates for the Chainguard FIPS Provider for OpenSSL. The implementation is kernel-independent and containers run in FIPS mode without requiring a FIPS-enabled host OS. Docker's FIPS variants require the Enterprise tier and use a third-party CMVP (OpenSSL), which may require additional due diligence to verify rebrand compliance during audits.

Chainguard Libraries bietet malware-resistente Rebuilds von Python-, Java- und JavaScript-Paketen, die aus dem Quellcode mit signierten SBOMs und SLSA L2-Provenienz erstellt werden. Die Bibliotheken lassen sich ohne Workflow-Änderungen direkt in PyPI, npm und Maven integrieren. Chainguard bietet außerdem First-Party-Helm-Charts und VM-Images für sichere Container-Hosts.

Chainguard kompiliert jedes Paket direkt aus dem Quellcode auf Chainguard OS, anstatt vorkompilierte Binärdateien von Debian oder Alpine neu zu verpacken. Dies eliminiert das Risiko von Lieferkettenangriffen, die in verteilte Binärdateien eingeschleust werden (z. B. die xz-utils-Backdoor von 2024), und gibt Chainguard die volle Kontrolle über Patch-Zeitpläne, unabhängig von den Release-Zyklen der Upstream-Distributionen.

Jedes Image wird jede Nacht neu erstellt. Wenn eine neue Sicherheitslücke bekannt wird, erstellt das automatisierte Build-System die betroffenen Pakete aus dem Quellcode neu und löst kaskadierende Rebuilds aller abhängigen Images aus. Da Chainguard sein eigenes Betriebssystem und seine eigene Build-Pipeline kontrolliert, können Sicherheitslücken unabhängig von einer Upstream-Distribution gepatcht werden.

Beide Anbieter stellen SBOMs, Sigstore-Signaturen und SLSA Build Level 3 Provenance-Attestierungen bereit. Chainguard erstellt jedes Paket aus dem Quellcode auf seinem eigenen Betriebssystem (Wolfi/Chainguard OS). Docker Hardened Images erstellt einige Pakete aus dem Quellcode, während andere aus vorgefertigten Archiven übernommen werden, was zu inkonsistenten Build-Definitionen führt, die eine vollständige Transparenz der Lieferkette einschränken.