{"id":103534,"date":"2022-03-14T15:36:53","date_gmt":"2022-03-14T13:36:55","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/dostupen-tuf-1-0-frejmvork-dlya-organizaczii-bezopasnoj-dostavki-obnovlenij"},"modified":"2022-03-14T15:36:53","modified_gmt":"2022-03-14T13:36:55","slug":"dostupen-tuf-1-0-frejmvork-dlya-organizaczii-bezopasnoj-dostavki-obnovlenij","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/news\/dostupen-tuf-1-0-frejmvork-dlya-organizaczii-bezopasnoj-dostavki-obnovlenij","title":{"rendered":"TUF 1.0, turvaliste v\u00e4rskenduste kohaletoimetamise raamistik, on n\u00fc\u00fcd saadaval","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Avaldatud on TUF 1.0 (The Update Framework) raamiosa, mis pakub vahendeid v\u00e4rskenduste turvaliseks kontrollimiseks ja allalaadimiseks. Projekti peamine eesm\u00e4rk on kaitsta klienti t\u00fc\u00fcpiliste r\u00fcnnakute eest ladude ja infrastruktuuri osas, sealhulgas takistada kurjategijate valev\u00e4rskenduste edendamist, mis on loodud p\u00e4rast ligip\u00e4\u00e4su saamist digitaalsed allkirjastamisv\u00f5tmed v\u00f5i repositooriumi kompromiteerimist. Projekti arendab Linux Foundation, et suurendada v\u00e4rskenduste turvalisust sellistes projektides nagu Docker, Fuchsia, Automotive Grade Linux, Bottlerocket ja PyPI (PyPI-s oodatakse allalaadimise ja metainformatsiooni kontrollimise kaasamist peagi). TUF-i viidatud teostuse kood on kirjutatud Pythonis ja levitatakse Apache 2.0 litsentsi alusel. <\/p>\n
Projekt arendab rida raamatukogusid, failivorme ja utiliite, mis saavad h\u00f5lpsasti integreeruda olemasolevatesse rakenduste uuendamise s\u00fcsteemidesse, pakkudes kaitset olukordades, kus arendajate v\u00f5tmed on kompromiteeritud. TUF-i kasutamiseks on piisav lisada vajalikud metainformatsioonid repositooriumisse ning integreerida client-koodis TUF-i pakutavad protseduurid failide allalaadimiseks ja kontrollimiseks. <\/p>\n
TUF raamiosa vastutab v\u00e4rskenduste ilmumise j\u00e4lgimise, v\u00e4rskenduste allalaadimise ja nende terviklikkuse kontrollimise eest. V\u00e4rskenduste installimise s\u00fcsteem ei kattub otseselt t\u00e4iendavate metainformatsioonidega, mille kontrollimise ja allalaadimise v\u00f5tab enda kanda TUF. Rakendustega ja uuenduss\u00fcsteemidega integreerimiseks pakutakse madala taseme API-d metainformatsioonidele ning k\u00f5rge taseme klient API-d ngclient, mis on valmis integratsiooniks rakendustega. <\/p>\n
R\u00fcnnakutest, millele TUF suudab vastu seista, on m\u00e4rgitud vanade v\u00e4ljaannete asendamine v\u00e4rskenduste n\u00e4ol, et takistada turvaauguste parandamist tarkvaras v\u00f5i tagasiviimist kasutaja vanale haavatavale versioonile, samuti pahatahtlike v\u00e4rskenduste edendamine, mis on \u00f5igesti allkirjastatud kompromiteeritud v\u00f5tme abil, ning DoS-r\u00fcnnakute l\u00e4biviimine klientide suhtes, n\u00e4iteks kettaruumi t\u00e4itmine l\u00f5putu v\u00e4rskendamisega. <\/p>\n
Tarkvara pakkuja infrastruktuuri kompromiteerimise kaitse saavutatakse eraldi kontrollitavate salvestuste s\u00e4ilitamise kaudu, mis kajastavad repositooriumi v\u00f5i rakenduse olekut. Kontrollitavad TUF metaandmed sisaldavad teavet usaldusv\u00e4\u00e4rsete v\u00f5tmete kohta, kr\u00fcptograafilisi r\u00e4si failide terviklikkuse hindamiseks, t\u00e4iendavaid digiallkirju metaandmete kinnitamiseks, versiooninumbrite andmeid ja salvestuste eluea teavet. Verifitseerimiseks kasutatavad v\u00f5tmed on piiratud eluaegadega ja nende pidev uuendamine on vajalik, et kaitsta neid vanade v\u00f5tmete allkirjastamise eest. <\/p>\n
Kogu s\u00fcsteemi kompromiteerimise riski v\u00e4hendatakse usaldusmudeli kasutamisega, kus iga osaline on piiratud ainult nende aladega, mille eest nad otse vastutavad. S\u00fcsteemis kasutatakse rollide hierarhiat koos oma v\u00f5tmetega, n\u00e4iteks allkirjastab juureroll v\u00f5tmed, mis vastutavad repositooriumi metaandmete, v\u00e4rskenduste loomise ajaga seotud andmete ja sihtversioonide eest; omakorda allkirjastab versioonide eest vastutav roll need rollid, mis on seotud edastatavate failide kinnitamisega.
<\/center> <\/p>\n
V\u00f5tmete kompromiteerimise kaitsmiseks kasutatakse v\u00f5tmete kiire tagasiv\u00f5tmise ja asendamise mehhanismi. Igas eraldi v\u00f5tmes koondatakse ainult minimaalset vajalikku volitust, ja allkirjastamistegevuste jaoks on vaja mitme v\u00f5tme kasutamist (\u00fcksikv\u00f5tme leke ei v\u00f5imalda kohe klienti r\u00fcnnata, ning kogu s\u00fcsteemi kompromiteerimiseks on vajalik k\u00f5igi osaliste v\u00f5tmete haaramine). Klient v\u00f5ib aktsepteerida ainult faile, mis on loodud hiljem kui juba varem saadud failid, ja andmed laaditakse ainult vastavalt t\u00e4iendatud metaandmetes m\u00e4\u00e4ratud suurusele. <\/p>\n
TUF 1.0.0 avaldatud v\u00e4ljaanne pakub t\u00e4ielikult \u00fcmberkirjutatud ja stabiliseeritud TUF spetsifikatsiooni n\u00e4idisrakendust, mida saab kasutada oma rakenduste loomisel v\u00f5i oma projektidesse inteerimisel. Uus rakendus sisaldab m\u00e4rgatavalt v\u00e4hem koodi (1400 rida selle asemel, et 4700), on lihtsam hooldada ja seda on lihtne laiendada, n\u00e4iteks kui on vajalik toetada spetsiifilisi v\u00f5rgu kuhjatusi, salvestuss\u00fcsteeme v\u00f5i kr\u00fcpteerimisalgoritme. \n Allikas: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"TUF](\"\/wp-content\/uploads\/2022\/03\/e88156df6bdc88b840e7f230c7588cbb.jpg\")
<\/center> <\/p>\n