S-a anunțat lansarea noii versiuni 1.0 a cadrului de actualizare, mai cunoscut sub numele de TUF și care se caracterizează prin a fi un cadru care oferă un mijloc de a verifica și descărca actualizările în siguranță.
Obiectivul principal al proiectului este de a proteja clientul de atacurile tipice către depozite și infrastructură, inclusiv contracararea promovării actualizărilor false de către atacatori, create după ce au obținut acces la chei pentru a genera semnături digitale sau pentru a compromite depozitul.
Despre TUF
Proiectul dezvoltă o serie de biblioteci, formate de fișiere și utilitare care poate fi integrat cu ușurință în sistemele existente de actualizare a aplicațiilor, oferind protecție în cazul unui compromis cheie de către dezvoltatorii de software. Pentru a utiliza TUF, este suficient să adăugați metadatele necesare în repository și să integrați procedurile prevăzute în TUF pentru a încărca și verifica fișierele în codul client.
Cadrul TUF preia sarcina de a verifica dacă există o actualizare, de a descărcaa updata și verificați integritatea acestuia. Sistemul de instalare a actualizării nu se intersectează direct cu metadate suplimentare, care sunt verificate și încărcate de TUF.
Pentru integrarea cu aplicații și sistemele de instalare a actualizării, este furnizat un API de nivel scăzut pentru accesarea metadatelor și implementarea unui client API de nivel înalt ngclient, gata pentru integrarea aplicației.
Printre atacurile pe care le poate contracara TUF sunt cele înlocuirea versiunii sub pretextul actualizărilor pentru a bloca remedieri ale vulnerabilităților din software sau pentru a reveni utilizatorul la o versiune vulnerabilă anterioară, precum și promovarea actualizărilor rău intenționate semnat corect folosind o cheie compromisă, efectuând atacuri DoS asupra clienților, cum ar fi umplerea discului cu o actualizare nesfârșită.
Protecție împotriva compromisurilor de infrastructură a furnizorului de software se realizează prin menținerea unor înregistrări separate verificabile ale stării depozitului sau aplicației.
L Metadatele verificate de TUF includ informații cheie care pot fi de încredere, hashuri criptografice pentru a evalua integritatea fișierelor, semnături digitale suplimentare pentru a verifica metadatele, informațiile despre numărul versiunii și informațiile de înregistrare pe durata de viață. Cheile utilizate pentru verificare au o durată de viață limitată și necesită o actualizare constantă pentru a proteja împotriva semnării cu chei vechi.
Reducerea riscului de compromitere a întregului sistem se realizează prin utilizarea unui model de încredere împărțită, în care fiecare parte este limitată doar la domeniul pentru care este direct responsabilă.
Sistemul folosește o ierarhie de roluri cu propriile chei, de exemplu, rolul rădăcină semnează cheile pentru rolurile responsabile cu metadate din depozit, date despre momentul formării actualizărilor și build-urilor țintă, la rândul său, rolul responsabil de build-uri semnează rolurile asociate cu certificarea fișierelor livrate .
Pentru a vă proteja împotriva compromisului cheie, folosește un mecanism pentru revocarea și înlocuirea rapidă a cheilor. Fiecare cheie individuală concentrează doar puterile minime necesare, iar operațiunile de notarizare necesită utilizarea mai multor chei (scurgerea unei singure chei nu permite un atac imediat asupra clientului, iar pentru a compromite întregul sistem, este necesară captarea cheilor de toți participanții).
Clientul poate accepta doar fișiere create mai târziu decât fișierele primite anterior, iar datele sunt descărcate numai în funcție de dimensiunea specificată în metadatele certificate.
Versiunea publicată a TUF 1.0.0 oferă o implementare de referință complet rescrisă și versiunea stabilizată a specificației TUF pe care o puteți folosi ca exemplu ieșit din cutie atunci când vă creați propriile implementări sau când vă integrați în proiecte.
Noua implementare conține mult mai puțin cod (1400 de linii în loc de 4700), este mai ușor de întreținut și poate fi extins cu ușurință, de exemplu, dacă trebuie să adăugați suport pentru anumite stive de rețea, sisteme de stocare sau algoritmi de criptare.
Proiectul este dezvoltat sub auspiciile Fundației Linux și este utilizat pentru a îmbunătăți securitatea livrării actualizărilor în proiecte precum Docker, Fuchsia, Automotive Grade Linux, Bottlerocket și PyPI (includerea verificării descărcărilor și a metadatelor în PyPI este de așteptat în curând).
În sfârșit, dacă ești interesat să poți afla puțin mai multe despre el, poți consulta detaliile În următorul link.