Tika paziņots, Atjaunināšanas ietvara jaunās versijas 1.0 izlaišana, labāk pazīstams kā TUF, un to raksturo ietvars, kas nodrošina iespēju droši pārbaudīt un lejupielādēt atjauninājumus.
Projekta galvenais mērķis ir aizsargāt klientu no tipiskiem uzbrukumiem krātuvēm un infrastruktūrai, tostarp novēršot viltus atjauninājumus, ko veic uzbrucēji, kas izveidoti pēc piekļuves atslēgām, lai ģenerētu ciparparakstus vai apdraudētu repozitoriju.
Par TUF
Projekts izstrādā vairākas bibliotēkas, failu formātus un utilītas ko var viegli integrēt esošajās lietojumprogrammu atjaunināšanas sistēmās, nodrošinot aizsardzību programmatūras izstrādātāju atslēgu kompromisa gadījumā. Lai izmantotu TUF, pietiek ar nepieciešamo metadatu pievienošanu repozitorijai un TUF paredzēto procedūru integrāciju, lai ielādētu un pārbaudītu failus klienta kodā.
TUF ietvars pārņem uzdevumu pārbaudīt atjauninājumu, lejupielādētatjaunot un pārbaudiet tā integritāti. Atjauninājumu instalēšanas sistēma tieši nekrustojas ar papildu metadatiem, kurus pārbauda un augšupielādē TUF.
Integrācijai ar lietojumprogrammām un atjauninājumu instalācijas sistēmām tiek nodrošināta zema līmeņa API piekļuvei metadatiem un augsta līmeņa klienta API ngclient ieviešanai, kas ir gatava lietojumprogrammu integrācijai.
Starp uzbrukumiem, kam TUF var pretoties ir versijas aizstāšana atjauninājumu aizsegā, lai bloķētu programmatūras ievainojamību labojumus vai atgrieztu lietotāju uz iepriekšējo ievainojamo versiju, kā arī ļaunprātīgu atjauninājumu reklamēšana pareizi parakstīts, izmantojot apdraudētu atslēgu, veicot DoS uzbrukumus klientiem, piemēram, aizpildot disku ar nebeidzamu atjauninājumu.
Aizsardzība pret infrastruktūras apdraudējumu Programmatūras piegādātāja informācija tiek panākta, uzturot atsevišķus pārbaudāmus repozitorija vai lietojumprogrammas stāvokļa ierakstus.
L TUF pārbaudītie metadati ietver galveno informāciju kam var uzticēties, kriptogrāfijas jaucējkrāni, lai novērtētu faila integritāti, papildu ciparparaksti, lai pārbaudītu metadatus, informāciju par versijas numuru un ierakstītu visu mūža informāciju. Verifikācijai izmantotajām atslēgām ir ierobežots kalpošanas laiks, un tās ir pastāvīgi jāatjaunina, lai aizsargātu pret parakstīšanu ar vecām atslēgām.
Visas sistēmas kompromitēšanas riska samazināšana tiek panākta, izmantojot sadalīto uzticības modeli, kurā katra puse ir ierobežota tikai ar jomu, par kuru tā ir tieši atbildīga.
Sistēma izmanto lomu hierarhiju ar savām atslēgām, piemēram, saknes loma paraksta atslēgas lomām, kas ir atbildīgas par metadatiem repozitorijā, datus par atjauninājumu un mērķa būvējumu veidošanās laiku, savukārt loma, kas atbild par būvēm, paraksta lomas, kas saistītas ar sertifikāciju. piegādāti faili.
Lai aizsargātu pret atslēgu kompromisu, izmanto mehānismu ātrai atslēgas atsaukšanai un aizstāšanai. Katra atsevišķa atslēga koncentrē tikai minimāli nepieciešamās pilnvaras, un notariālas apstiprināšanas operācijām ir nepieciešams izmantot vairākas atslēgas (vienas atslēgas noplūde neļauj nekavējoties uzbrukt klientam, un, lai kompromitētu visu sistēmu, ir nepieciešams notvert atslēgas visi dalībnieki).
Klients var pieņemt tikai failus, kas izveidoti vēlāk nekā iepriekš saņemtie faili, un dati tiek lejupielādēti tikai atbilstoši sertificētajos metadatos norādītajam izmēram.
Publicētā versija TUF 1.0.0 piedāvā pilnībā pārrakstītu atsauces ieviešanu un stabilizēta TUF specifikācijas versija, ko varat izmantot kā gatavu piemēru, veidojot savas implementācijas vai integrējot savos projektos.
Jaunā ieviešana satur ievērojami mazāk koda (1400 rindiņas 4700 vietā), to ir vieglāk uzturēt un to var viegli paplašināt, piemēram, ja nepieciešams pievienot atbalstu konkrētiem tīkla skursteņiem, uzglabāšanas sistēmām vai šifrēšanas algoritmiem.
Projekts tiek izstrādāts Linux fonda paspārnē un tiek izmantots, lai uzlabotu atjauninājumu piegādes drošību tādos projektos kā Docker, Fuchsia, Automotive Grade Linux, Bottlerocket un PyPI (drīzumā PyPI tiks iekļauta lejupielādes verifikācija un metadati).
Visbeidzot, ja vēlaties uzzināt par to nedaudz vairāk, varat uzzināt sīkāku informāciju Šajā saitē.