{"id":100532,"date":"2021-06-17T22:23:06","date_gmt":"2021-06-17T20:23:08","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/google-predlozhil-slsa-dlya-zashhity-ot-vredonosnyh-izmenenij-v-proczesse-razrabotki"},"modified":"2021-06-17T22:23:06","modified_gmt":"2021-06-17T20:23:08","slug":"google-predlozhil-slsa-dlya-zashhity-ot-vredonosnyh-izmenenij-v-proczesse-razrabotki","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/google-predlozhil-slsa-dlya-zashhity-ot-vredonosnyh-izmenenij-v-proczesse-razrabotki","title":{"rendered":"Google hat SLSA zum Schutz vor sch\u00e4dlichen \u00c4nderungen im Entwicklungsprozess vorgeschlagen","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Das Unternehmen Google hat das Framework SLSA (Supply-chain Levels for Software Artifacts) vorgestellt, das die bestehenden Erfahrungen zum Schutz der Entwicklungsinfrastruktur vor Angriffen zusammenfasst, die in der Phase des Codierens, Testens, der Erstellung und Verbreitung von Produkten stattfinden. <\/p>\n
Die Entwicklungsprozesse werden zunehmend komplexer und h\u00e4ngen von externen Werkzeugen ab, was g\u00fcnstige Bedingungen f\u00fcr Angriffe schafft, die nicht auf die Entdeckung und Ausnutzung von Schwachstellen im Endprodukt abzielen, sondern auf die Kompromittierung des Entwicklungsprozesses selbst (Angriffe «supply chain», die in der Regel darauf abzielen, sch\u00e4dliche \u00c4nderungen im Code-Schreibprozess einzuf\u00fchren, sowie bin\u00e4re Komponenten und Abh\u00e4ngigkeiten zu ersetzen). <\/p>\n
Das Framework ber\u00fccksichtigt 8 Arten von Angriffen, die mit Bedrohungen verbunden sind, die sch\u00e4dliche \u00c4nderungen in der Phase des Codierens, Erstellens, Testens und Verbreitens von Produkten einf\u00fchren.
<\/center> <\/p>\n
\n
A. Einf\u00fcgen von \u00c4nderungen in den Quellcode, die Backdoors oder versteckte Fehler enthalten, die zu Schwachstellen f\u00fchren.\n
Beispiel f\u00fcr einen Angriff: «Hypocrite Commits» — der Versuch, Schwachstellen-Patches in den Linux-Kernel einzuf\u00fchren. <\/p>\n
Vorgeschlagene Schutzma\u00dfnahme: Unabh\u00e4ngige \u00dcberpr\u00fcfung jeder \u00c4nderung durch zwei Entwickler. <\/p>\n
B. Kompromittierung der Quellcode-Verwaltungsplattform.\n
Beispiel f\u00fcr einen Angriff: Einf\u00fchren b\u00f6sartiger Commits mit einer Backdoor in das Git-Repository des PHP-Projekts nach einem Passwort-Leck von Entwicklern. <\/p>\n
Vorgeschlagene Schutzma\u00dfnahme: Verbesserung des Schutzes der Plattform zur Verwaltung des Codes (im Fall von PHP wurde der Angriff \u00fcber eine wenig genutzte HTTPS-Schnittstelle durchgef\u00fchrt, die das Einf\u00fcgen von \u00c4nderungen erlaubte, w\u00e4hrend der Zugriff mit Passwort ohne \u00dcberpr\u00fcfung des SSH-Schl\u00fcssels m\u00f6glich war, obwohl zur Hashfunktion der Passw\u00f6rter eine unsichere MD5-Methode verwendet wurde). <\/p>\n
C. Einf\u00fcgen von \u00c4nderungen, wenn der Code an das Build-System oder die kontinuierliche Integration \u00fcbergeben wird (es wird Code aufgebaut, der nicht dem Code im Repository entspricht).\n
Beispiel f\u00fcr einen Angriff: Einf\u00fchren einer Backdoor in Webmin durch \u00c4nderungen in der Build-Infrastruktur, die zur Nutzung von Dateien mit Code f\u00fchrten, die sich von den Dateien im Repository unterscheiden. <\/p>\n
Vorgeschlagene Schutzma\u00dfnahme: \u00dcberpr\u00fcfung der Integrit\u00e4t und Identifikation der Quelle des eingehenden Codes beim Build. Server<\/a>. <\/p>\n
![\"Google](\"\/wp-content\/uploads\/2021\/06\/d99f0d7ebc6009bcecf21f65f77dcf65.png\")
<\/center> <\/p>\n![\"Google](\"\/wp-content\/uploads\/2021\/06\/3f0bdd24afeec562582d8410b490e705.png\")
<\/center>