Наличен е TUF 1.0, фреймворк за организиране на безопасна доставка на обновления

Обявен е издаването на фреймворка TUF 1.0 (The Update Framework), който предоставя средства за безопасна проверка на наличността и изтеглянето на обновления. Основната цел на проекта е да защити клиента от типични атаки срещу репозитории и инфраструктури, включително предотвратяване на разпространението на фалшиви обновления от страна на злонамерени лица, след като са получили достъп до ключовете за генериране на цифрови подписи или компрометират репозитория. Проектът се развива под егидата на организацията Linux Foundation и се прилага за повишаване на сигурността при доставката на обновления в такива проекти като Docker, Fuchsia, Automotive Grade Linux, Bottlerocket и PyPI (включването на верификация на изтеглянията и метаданните в PyPI се очаква в най-скоро време). Кодът на еталонната реализация на TUF е написан на Python и се разпространява под лицензия Apache 2.0.

Проектът развива серия от библиотеки, файлови формати и утилити, които могат лесно да се интегрират в съществуващите системи за обновление на приложения, осигурявайки защита в случай на компрометиране на ключовете от страна на разработчиците на софтуер. За използване на TUF е достатъчно да се добавят необходими метаданни в репозитория и да се интегрират предоставените от TUF процедури за изтегляне и верификация на файлове в клиентския код.

Фреймворкът TUF поема задачите за проверка на наличността на обновления, изтегляне на обновления и верификация на тяхната целостност. Системата за инсталиране на обновления не се пресича директно с допълнителните метаданни, чиято проверка и изтегляне поема TUF. За интеграция с приложения и системи за инсталиране на обновления е предвиден нискоуровневен API за достъп до метаданните и реализация на висококачествен клиентски API ngclient, готов за интеграция с приложения.

Сред атаките, на които TUF може да противодейства, се отбелязва подмяна на стари издания под формата на обновления с цел блокиране на коригирането на уязвимости в софтуера или връщане на потребителя на стара уязвима версия, както и разпространение на злонамерени обновления, коректно подписани с използване на компрометиран ключ, извършване на DoS атаки срещу клиенти, като например запълване на диска с безкрайно обновление.

Защита от компрометиране на инфраструктурата на доставчика на софтуер се постига чрез поддържане на отделни проверими записи за състоянието на репозитория или приложение. Проверимите TUF метаданни включват информация за ключове, на които може да се доверите, криптографски хешове за оценка на целостта на файловете, допълнителни цифрови подписи за удостоверяване на метаданните, информация за номера на версиите и данни за жизнения цикъл на записите. Ключовете, използвани за верификация, имат ограничен жизнен цикъл и изискват постоянно обновление, за да се защитят от подписване с остарели ключове.

Намаляването на риска от компрометиране на цялата система се реализира чрез използване на модел за разделение на доверието, при който всяка страна е ограничена само до областта, за която пряко отговаря. В системата се използва йерархия от роли със собствени ключове, например коренната роля подписва ключовете за ролите, отговарящи за метаданните в репозитория, данните за времето на генериране на обновленията и целевите сборки, а ролята, отговорна за сборките, подписва ролите, свързани с удостоверяване на доставяните файлове.

За защита от компрометиране на ключовете се използва механизъм за бързо отзоваване и замяна на ключовете. Във всеки отделен ключ се концентрират само минимално необходимите правомощия, а за операции по удостоверяване се изисква използването на няколко ключа (изтичането на отделен ключ не позволява моментална атака срещу клиента, а за компрометиране на цялата система е необходимо да се завладеят ключовете на всички участници). Клиентът може да приема само файлове, създадени след получаване на вече получените файлове, а данните се зареждат само в съответствие с размера, зададен в удостоверените метаданни.

Публикуваното издание TUF 1.0.0 предлага напълно пренаписана и стабилизирана референтна реализация на спецификацията TUF, която може да служи като готов пример при създаването на собствени реализации или за интеграция в собствените ви проекти. Новата реализация съдържа значително по-малко код (1400 реда вместо 4700), по-лесна е за поддръжка и може лесно да се разширява, например, при необходимост от добавяне на поддръжка за специфични мрежови стекове, системи за съхранение или алгоритми за криптиране.

Източник: opennet.ru