Google ডেভেলপমেন্টের সময় দূষিত পরিবর্তন থেকে রক্ষা করার জন্য SLSA প্রস্তাব করেছে

Google SLSA (সফ্টওয়্যার আর্টিফ্যাক্টের জন্য সাপ্লাই-চেইন লেভেলস) ফ্রেমওয়ার্ক প্রবর্তন করেছে, যা কোড লেখা, টেস্টিং, অ্যাসেম্বলিং এবং প্রোডাক্ট বিতরণের পর্যায়ে সম্পাদিত আক্রমণ থেকে উন্নয়ন পরিকাঠামো রক্ষার বিদ্যমান অভিজ্ঞতার সংক্ষিপ্ত বিবরণ দেয়।

উন্নয়ন প্রক্রিয়া ক্রমশ জটিল এবং তৃতীয় পক্ষের সরঞ্জামের উপর নির্ভরশীল হয়ে উঠছে, যা আক্রমণের অগ্রগতির জন্য অনুকূল পরিস্থিতি তৈরি করে যেটি চূড়ান্ত পণ্যের দুর্বলতাগুলি সনাক্তকরণ এবং শোষণের সাথে সম্পর্কিত নয়, বরং উন্নয়ন প্রক্রিয়ার সাথে আপস করার জন্য (সাপ্লাই চেইন আক্রমণ, সাধারণত লক্ষ্য করা হয়) কোড লেখার প্রক্রিয়ায় দূষিত পরিবর্তন প্রবর্তন, বিতরণকৃত উপাদান এবং নির্ভরতা প্রতিস্থাপন)।

ফ্রেমওয়ার্ক কোড ডেভেলপমেন্ট, অ্যাসেম্বলি, টেস্টিং এবং প্রোডাক্ট ডিস্ট্রিবিউশনের পর্যায়ে দূষিত পরিবর্তন করার হুমকির সাথে সম্পর্কিত 8 ধরনের আক্রমণকে বিবেচনা করে।

• A. সোর্স কোডের পরিবর্তনগুলি সহ যাতে ব্যাকডোর বা লুকানো ত্রুটি থাকে যা দুর্বলতার দিকে পরিচালিত করে।

  আক্রমণের একটি উদাহরণ: "ভণ্ড কমিট" - কার্নেলে প্রবেশ করার একটি প্রচেষ্টা। Linux দুর্বলতাসহ প্যাচ।

  প্রস্তাবিত নিরাপত্তা পদ্ধতি: দুই বিকাশকারীর দ্বারা প্রতিটি পরিবর্তনের স্বাধীন পর্যালোচনা।

• B. সোর্স কোড কন্ট্রোল প্ল্যাটফর্মের আপস।

  আক্রমণের উদাহরণ: ডেভেলপার পাসওয়ার্ড ফাঁস হওয়ার পর পিএইচপি প্রকল্পের গিট রিপোজিটরিতে ব্যাকডোর দিয়ে দূষিত কমিটের ইনজেকশন।

  প্রস্তাবিত সুরক্ষা পদ্ধতি: কোড ম্যানেজমেন্ট প্ল্যাটফর্মের বর্ধিত নিরাপত্তা (PHP-এর ক্ষেত্রে, আক্রমণটি অল্প-ব্যবহৃত HTTPS ইন্টারফেসের মাধ্যমে করা হয়েছিল, যা SSH কী চেক না করে পাসওয়ার্ড ব্যবহার করে লগ ইন করার সময় পরিবর্তনগুলি পাঠানোর অনুমতি দেয়। সত্য যে অবিশ্বস্ত MD5 পাসওয়ার্ড হ্যাশ করতে ব্যবহার করা হয়েছিল)।

• C. বিল্ড বা ক্রমাগত ইন্টিগ্রেশন সিস্টেমে কোড স্থানান্তর করার পর্যায়ে পরিবর্তন করা (কোড যেটি সংগ্রহস্থলের কোডের সাথে মেলে না তা নির্মিত হয়)।

  আক্রমণের উদাহরণ: বিল্ড ইনফ্রাস্ট্রাকচারে পরিবর্তন করে ওয়েবমিনে একটি ব্যাকডোর ইনজেক্ট করা, যার ফলে রিপোজিটরির ফাইল থেকে আলাদা কোড ফাইল ব্যবহার করা হয়।

  প্রস্তাবিত সুরক্ষা পদ্ধতি: অ্যাসেম্বলি লাইনে কোডের অখণ্ডতা যাচাই এবং উৎসের শনাক্তকরণ সার্ভার.

• D. সমাবেশ প্ল্যাটফর্মের আপস।

  একটি আক্রমণের উদাহরণ: সোলারউইন্ডস আক্রমণ, যার সময় সমাবেশ পর্যায়ে সোলারউইন্ডস ওরিয়ন পণ্যে একটি ব্যাকডোর ইনস্টলেশন নিশ্চিত করা হয়েছিল।

  প্রস্তাবিত সুরক্ষা পদ্ধতি: সমাবেশ প্ল্যাটফর্মের জন্য উন্নত নিরাপত্তা ব্যবস্থা বাস্তবায়ন।

• E. নিম্ন-মানের নির্ভরতার মাধ্যমে দূষিত কোডের প্রচার।

  আক্রমণের একটি উদাহরণ: একটি ক্ষতিকারক নির্ভরতা যোগ করে জনপ্রিয় ইভেন্ট-স্ট্রিম লাইব্রেরিতে একটি ব্যাকডোর প্রবর্তন এবং তারপর এই নির্ভরতার একটি আপডেটে দূষিত কোড অন্তর্ভুক্ত করে (দূষিত পরিবর্তনটি গিট সংগ্রহস্থলে প্রতিফলিত হয়নি, তবে ছিল শুধুমাত্র সমাপ্ত MNP প্যাকেজে উপস্থিত)।

  প্রস্তাবিত সুরক্ষা পদ্ধতি: পুনরাবৃত্তভাবে সমস্ত নির্ভরতাগুলিতে SLSA প্রয়োজনীয়তা প্রয়োগ করুন (ইভেন্ট-স্ট্রিমের ক্ষেত্রে, চেকটি কোডের সমাবেশ প্রকাশ করবে যা মূল গিট সংগ্রহস্থলের বিষয়বস্তুর সাথে সঙ্গতিপূর্ণ নয়)।

• F. CI/CD সিস্টেমে তৈরি করা আর্টিফ্যাক্ট আপলোড করা হয় না।

  আক্রমণের উদাহরণ: CodeCov স্ক্রিপ্টে দূষিত কোড যোগ করা, যা আক্রমণকারীদের গ্রাহকের ক্রমাগত ইন্টিগ্রেশন সিস্টেম পরিবেশে সঞ্চিত তথ্য বের করতে দেয়।

  প্রস্তাবিত সুরক্ষা পদ্ধতি: নিদর্শনগুলির উত্স এবং অখণ্ডতার উপর নিয়ন্ত্রণ (CodeCov-এর ক্ষেত্রে, এটি প্রকাশ করা যেতে পারে যে codecov.io ওয়েবসাইট থেকে পাঠানো ব্যাশ আপলোডার স্ক্রিপ্টটি প্রকল্পের সংগ্রহস্থলের কোডের সাথে সঙ্গতিপূর্ণ নয়)।

• G. প্যাকেজ সংগ্রহস্থলের আপস।

  আক্রমণের উদাহরণ: গবেষকরা তাদের মাধ্যমে দূষিত প্যাকেজ বিতরণ করার জন্য কিছু জনপ্রিয় প্যাকেজ সংগ্রহস্থলের আয়না স্থাপন করতে সক্ষম হয়েছেন।

  প্রস্তাবিত সুরক্ষা পদ্ধতি: যাচাইকরণ যে বিতরণকৃত শিল্পকর্মগুলি ঘোষিত উত্স কোডগুলি থেকে সংকলিত হয়েছে৷

• H. ভুল প্যাকেজ ইনস্টল করার জন্য ব্যবহারকারীকে বিভ্রান্ত করা।

  আক্রমণের উদাহরণ: টাইপোসক্যাটিং (NPM, RubyGems, PyPI) ব্যবহার করে প্যাকেজগুলিকে সংগ্রহস্থলগুলিতে স্থাপন করা যা জনপ্রিয় অ্যাপ্লিকেশনগুলির লেখার মতো (উদাহরণস্বরূপ, কফি-স্ক্রিপ্টের পরিবর্তে কফি-স্ক্রিপ্ট)।

পতাকাঙ্কিত হুমকিগুলিকে ব্লক করার জন্য, SLSA সুপারিশের একটি সেট, সেইসাথে অডিট মেটাডেটা তৈরির স্বয়ংক্রিয় সরঞ্জামগুলি অফার করে৷ SLSA সাধারণ আক্রমণের পদ্ধতিগুলিকে সংক্ষিপ্ত করে এবং সুরক্ষা স্তরগুলির ধারণাটি প্রবর্তন করে৷ প্রতিটি স্তর উন্নয়নে ব্যবহৃত শিল্পকর্মের অখণ্ডতা নিশ্চিত করার জন্য নির্দিষ্ট অবকাঠামো প্রয়োজনীয়তা আরোপ করে। সমর্থিত SLSA স্তর যত বেশি হবে, তত বেশি সুরক্ষা কার্যকর করা হবে এবং সাধারণ আক্রমণ থেকে পরিকাঠামো তত বেশি সুরক্ষিত হবে।

• SLSA 1 এর জন্য প্রয়োজন যে বিল্ড প্রক্রিয়াটি সম্পূর্ণরূপে স্বয়ংক্রিয় হতে হবে এবং উৎস, নির্ভরতা এবং বিল্ড প্রক্রিয়া সম্পর্কে তথ্য সহ আর্টিফ্যাক্টগুলি কীভাবে তৈরি করা হয় সে সম্পর্কে মেটাডেটা ("প্রোভেনেন্স") তৈরি করতে হবে (গিটহাব অ্যাকশনগুলির জন্য অডিট করার জন্য একটি উদাহরণ মেটাডেটা জেনারেটর দেওয়া হয়েছে)। SLSA 1 দূষিত পরিবর্তনের বিরুদ্ধে সুরক্ষার উপাদানগুলিকে অন্তর্ভুক্ত করে না, বরং কেবলমাত্র কোড সনাক্ত করে এবং দুর্বলতা ব্যবস্থাপনা এবং ঝুঁকি বিশ্লেষণের জন্য মেটাডেটা প্রদান করে।
• SLSA 2 - প্রমাণীকৃত মেটাডেটা জেনারেট করে এমন সংস্করণ নিয়ন্ত্রণ এবং সমাবেশ পরিষেবাগুলির ব্যবহার প্রয়োজন করে প্রথম স্তরকে প্রসারিত করে। SLSA 2-এর ব্যবহার আপনাকে কোডের উৎপত্তি খুঁজে বের করতে দেয় এবং বিশ্বস্ত বিল্ড পরিষেবার ক্ষেত্রে কোডে অননুমোদিত পরিবর্তন প্রতিরোধ করে।
• SLSA 3 - নিশ্চিত করে যে সোর্স কোড এবং বিল্ড প্ল্যাটফর্ম মানগুলির প্রয়োজনীয়তা পূরণ করে যা কোডটি অডিট করার ক্ষমতা এবং প্রদত্ত মেটাডেটার অখণ্ডতা নিশ্চিত করে। এটা অনুমান করা হয় যে নিরীক্ষকরা মানগুলির প্রয়োজনীয়তার বিরুদ্ধে প্ল্যাটফর্মগুলিকে প্রত্যয়িত করতে পারে।
• SLSA 4 হল সর্বোচ্চ স্তর, নিম্নলিখিত প্রয়োজনীয়তাগুলির সাথে পূর্ববর্তী স্তরগুলির পরিপূরক:
  • দুটি ভিন্ন বিকাশকারীদের দ্বারা সমস্ত পরিবর্তনের বাধ্যতামূলক পর্যালোচনা।
  • সমস্ত বিল্ড ধাপ, কোড এবং নির্ভরতা সম্পূর্ণরূপে ঘোষণা করা আবশ্যক, সমস্ত নির্ভরতা আলাদাভাবে নিষ্কাশন এবং যাচাই করা আবশ্যক, এবং বিল্ড প্রক্রিয়া অফলাইনে সঞ্চালিত করা আবশ্যক।
  • একটি পুনরাবৃত্তিযোগ্য বিল্ড প্রক্রিয়া ব্যবহার করে আপনি নিজেই বিল্ড প্রক্রিয়াটি পুনরাবৃত্তি করতে পারবেন এবং নিশ্চিত করুন যে প্রদত্ত সোর্স কোড থেকে এক্সিকিউটেবল তৈরি করা হয়েছে।
  
  
  উত্স: opennet.ru