Ogłoszono, że wydanie nowej wersji 1.0 The Update Framework, lepiej znany jako TUF i który charakteryzuje się tym, że jest platformą zapewniającą środki do bezpiecznego sprawdzania i pobierania aktualizacji.
Głównym celem projektu jest ochrona klienta przed typowymi atakami do repozytoriów i infrastruktury, w tym przeciwdziałanie promowaniu przez atakujących fałszywych aktualizacji tworzonych po uzyskaniu dostępu do kluczy w celu wygenerowania podpisów cyfrowych lub włamania się do repozytorium.
O TUF-ie
Projekt rozwija szereg bibliotek, formatów plików i narzędzi które można łatwo zintegrować z istniejącymi systemami aktualizacji aplikacji, zapewniając ochronę w przypadku naruszenia klucza przez twórców oprogramowania. Aby korzystać z TUF, po prostu dodaj niezbędne metadane do repozytorium i zintegruj procedury przewidziane w TUF do przesyłania i sprawdzania plików w kodzie klienta.
Ramy TUF podejmuje się zadania sprawdzenia dostępności aktualizacji, pobrania plikuaktualizować i zweryfikować jego integralność. System instalacji aktualizacji nie koliduje bezpośrednio z dodatkowymi metadanymi, które są weryfikowane i przesyłane przez TUF.
Na potrzeby integracji z aplikacjami i systemami instalacyjnymi aktualizacji dostępne jest niskopoziomowe API do uzyskiwania dostępu do metadanych oraz implementacja klienckiego API wysokiego poziomu ngclient, gotowe do integracji aplikacji.
Wśród ataków, którym może przeciwdziałać TUF są zamiana wersji stare w postaci aktualizacji blokujących poprawki luk w oprogramowaniu lub przywracających użytkownika do poprzedniej wersji podatnej na ataki, a także promowanie złośliwych aktualizacji prawidłowo podpisane przy użyciu złamanego klucza, przeprowadzając ataki DoS na klientów, takie jak zapełnianie dysku niekończącą się aktualizacją.
Ochrona przed naruszeniem infrastruktury dostawcy oprogramowania uzyskuje się poprzez prowadzenie oddzielnych, weryfikowalnych zapisów stanu repozytorium lub aplikacji.
L Metadane zweryfikowane przez TUF zawierają kluczowe informacje którym można zaufać, kryptograficzne skróty do oceny integralności plików, dodatkowe podpisy cyfrowe do weryfikacji metadanych, informacji o numerze wersji i informacji o okresie istnienia zapisu. Klucze używane do weryfikacji mają ograniczony czas życia i wymagają ciągłej aktualizacji w celu ochrony przed podpisywaniem starymi kluczami.
Zmniejszenie ryzyka włamania się do całego systemu uzyskuje się poprzez zastosowanie modelu podzielonego zaufania, w którym każda ze stron jest ograniczona tylko do obszaru, za który jest bezpośrednio odpowiedzialna.
System wykorzystuje hierarchię ról z własnymi kluczami, na przykład rola root podpisuje klucze dla ról odpowiedzialnych za metadane w repozytorium, dane o czasie aktualizacji i docelowych kompilacjach, z kolei rola odpowiedzialna za kompilacje podpisuje role związane z certyfikacją dostarczonych plików.
Aby chronić przed naruszeniem klucza, wykorzystuje mechanizm szybkiego unieważniania i wymiany kluczy. Każdy pojedynczy klucz skupia tylko niezbędne minimum uprawnień, a operacje notarialne wymagają użycia wielu kluczy (wyciek pojedynczego klucza nie pozwala na natychmiastowy atak na klienta, a do skompromitowania całego systemu konieczne jest przejęcie kluczy wszyscy uczestnicy).
Klient może akceptować tylko pliki utworzone później niż pliki otrzymane wcześniej, a dane są pobierane tylko zgodnie z rozmiarem określonym w certyfikowanych metadanych.
Opublikowana wersja TUF 1.0.0 oferuje całkowicie przepisaną implementację referencyjną i ustabilizowaną wersję specyfikacji TUF, której można użyć jako gotowego przykładu podczas tworzenia własnych implementacji lub integracji z projektami.
Nowa realizacja zawiera znacznie mniej kodu (1400 linii zamiast 4700), jest łatwiejszy w utrzymaniu i można go łatwo rozbudować, na przykład jeśli trzeba dodać obsługę określonych stosów sieciowych, systemów pamięci masowej lub algorytmów szyfrowania.
Projekt jest rozwijany pod auspicjami Linux Foundation i służy do poprawy bezpieczeństwa dostarczania aktualizacji w projektach takich jak Docker, Fuchsia, Automotive Grade Linux, Bottlerocket i PyPI (wkrótce spodziewane jest włączenie weryfikacji pobierania i metadanych do PyPI).
Na koniec, jeśli chcesz dowiedzieć się czegoś więcej na ten temat, możesz zapoznać się ze szczegółami W poniższym linku.