Ilmoitettiin The Update Frameworkin uuden version 1.0 julkaisu, tunnetaan paremmin nimellä TUF ja jolle on tunnusomaista se, että se on kehys, joka tarjoaa keinon tarkistaa ja ladata päivitykset turvallisesti.
Projektin päätavoitteena on suojata asiakasta tyypillisiltä hyökkäyksiltä arkistoihin ja infrastruktuuriin, mukaan lukien väärennettyjen päivitysten torjunta, jonka hyökkääjät ovat luoneet saatuaan pääsyn avaimiin digitaalisten allekirjoitusten luomiseksi tai tietovaraston vaarantamiseksi.
Tietoja TUF:stä
El proyecto kehittää useita kirjastoja, tiedostomuotoja ja apuohjelmia jotka voidaan helposti integroida olemassa oleviin sovelluspäivitysjärjestelmiin, mikä tarjoaa suojan, jos ohjelmistokehittäjät joutuvat avainkompromisseihin. TUF:n käyttöä varten riittää, että lisäät tarvittavat metatiedot arkistoon ja integroimme TUF:n tarjoamat menettelyt tiedostojen lataamiseksi ja tarkistamiseksi asiakaskoodissa.
TUF-kehys ottaa vastuulleen päivityksen tarkistamisen ja päivityksen lataamisenpäivittää ja tarkista sen eheys. Päivityksen asennusjärjestelmä ei ole suoraan ristissä ylimääräisten metatietojen kanssa, jotka TUF vahvistaa ja lataa.
Integrointia varten sovellusten ja päivitysasennusjärjestelmien kanssa tarjotaan matalan tason API metadataan pääsyä ja korkean tason asiakassovellusliittymän ngclient -asiakasohjelman toteuttamista varten, valmiina sovellusten integrointiin.
Yksi hyökkäyksistä, joita TUF voi torjua ovat version korvaaminen päivitysten varjolla ohjelmiston haavoittuvuuksien korjaamisen estämiseksi tai käyttäjän palauttamiseksi aiempaan haavoittuvaan versioon sekä haitallisten päivitysten edistäminen oikein allekirjoitettu käyttämällä vaarantunutta avainta ja suorittaa DoS-hyökkäyksiä asiakkaita vastaan, kuten täyttämällä levyn loputtomalla päivityksellä.
Suojaus infrastruktuurin vaarantumista vastaan Ohjelmiston toimittajan tiedot saavutetaan ylläpitämällä erillisiä todennettavia tietueita arkiston tai sovelluksen tilasta.
Los TUF-varmennetut metatiedot sisältävät keskeiset tiedot joihin voidaan luottaa, salaustiivisteet tiedoston eheyden arvioimiseksi, ylimääräiset digitaaliset allekirjoitukset metatietojen tarkistamiseksi, versionumerotiedot ja tallenteen elinkaaren tiedot. Vahvistamiseen käytetyillä avaimilla on rajoitettu käyttöikä ja ne vaativat jatkuvaa päivitystä suojatakseen allekirjoittamista vanhoilla avaimilla.
Koko järjestelmän vaarantumisen riskiä pienennetään käyttämällä split trust -mallia, jossa kumpikin osapuoli rajoittuu vain alueelle, josta se on suoraan vastuussa.
Järjestelmä käyttää roolihierarkiaa omilla avaimillaan, esimerkiksi juurirooli allekirjoittaa avaimet arkiston metatiedoista vastaaville rooleille, tiedot päivitysten ja kohderakennusten muodostumisajasta, käännöksistä vastaava rooli puolestaan sertifioimiseen liittyvät roolit. toimitetut tiedostot.
Suojataksesi avaimen kompromisseja vastaan, käyttää mekanismia nopeaan avainten poistamiseen ja vaihtamiseen. Kukin yksittäinen avain keskittää vain tarvittavat vähimmäisvaltuudet, ja notaarin vahvistaminen edellyttää useiden avainten käyttöä (yhden avaimen vuotaminen ei mahdollista välitöntä hyökkäystä asiakasta vastaan, ja koko järjestelmän vaarantamiseksi on tarpeen kaapata avaimet kaikki osallistujat).
Asiakas voi hyväksyä vain tiedostoja, jotka on luotu myöhemmin kuin aiemmin vastaanotettuja tiedostoja, ja tiedot ladataan vain sertifioiduissa metatiedoissa määritellyn koon mukaan.
Julkaistu versio aiheesta TUF 1.0.0 tarjoaa täysin uudelleen kirjoitetun viitetoteutuksen ja stabiloitu versio TUF-spesifikaatiosta, jota voit käyttää valmiina esimerkkinä luodessasi omia toteutuksiasi tai integroitaessasi projekteihisi.
Uusi toteutus sisältää huomattavasti vähemmän koodia (1400 riviä 4700 sijaan), sitä on helpompi ylläpitää ja sitä voidaan helposti laajentaa, jos haluat lisätä tukea tietyille verkkopinoille, tallennusjärjestelmille tai salausalgoritmeille.
Projekti on kehitetty Linux Foundationin alaisuudessa ja sitä käytetään parantamaan päivitysten toimituksen turvallisuutta projekteissa, kuten Docker, Fuchsia, Automotive Grade Linux, Bottlerocket ja PyPI (latausten vahvistuksen ja metatietojen sisällyttämistä PyPI:hen odotetaan pian).
Lopuksi, jos olet kiinnostunut tietämään siitä hieman enemmän, voit tutustua yksityiskohtiin Seuraavassa linkissä.