{"id":103534,"date":"2022-03-14T15:36:53","date_gmt":"2022-03-14T13:36:55","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/dostupen-tuf-1-0-frejmvork-dlya-organizaczii-bezopasnoj-dostavki-obnovlenij"},"modified":"2022-03-14T15:36:53","modified_gmt":"2022-03-14T13:36:55","slug":"dostupen-tuf-1-0-frejmvork-dlya-organizaczii-bezopasnoj-dostavki-obnovlenij","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/novosti-interneta\/dostupen-tuf-1-0-frejmvork-dlya-organizaczii-bezopasnoj-dostavki-obnovlenij","title":{"rendered":"Saadaval on TUF 1.0, raamistik turvaliste uuenduste tarnimise korraldamiseks.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Avalikustati TUF 1.0 raamistik (The Update Framework), mis pakub t\u00f6\u00f6riistu turvaliseks uuenduste kontrollimiseks ja allalaadimiseks. Projekti p\u00f5hieesm\u00e4rk on kaitsta kliente t\u00fc\u00fcpiliste r\u00fcnnakute eest hoidlatele ja infrastruktuuridele, sealhulgas takistada kurjategijate petturlike uuenduste levikut, mis on loodud p\u00e4rast digitaalallkirjade v\u00f5tmete hankimist v\u00f5i hoidla kompromiteerimist. Projekt areneb Linux Foundationi juhtimise all ja seda rakendatakse, et suurendada uuenduste turvalisust sellistes projektides nagu Docker, Fuchsia, Automotive Grade Linux, Bottlerocket ja PyPI (PyPI-s oodatakse allalaadimise ja metaandmete kontrollimise rakendamist peagi). TUF viiterakenduse kood on kirjutatud Pythonis ja see on levitatud Apache 2.0 litsentsi alusel. <\/p>\n
Projekt arendab v\u00e4lja raamatukogude, failivormingute ja utiliitide seeriat, mis integreeruvad olemasolevatesse rakenduste uuendamise s\u00fcsteemidesse, tagades kaitse, kui tarkvaraarendajate jaoks vajalikke v\u00f5tmeid ohustatakse. TUF-i kasutamiseks piisab vajalikud metaandmed oma reposse lisamisest ning TUF-i pakutud protseduuride integreerimisest kliendikoodis failide allalaadimise ja kontrollimise jaoks. <\/p>\n
TUF raamistik vastutab uuenduste kontrollimise, allalaadimise ja nende terviklikkuse kinnitamise eest. Uuenduste installimiss\u00fcsteem ei seostu otseselt t\u00e4iendavate metaandmetega, mille kontrollimise ja allalaadimise eest vastutab TUF. Rakenduste ja uuendamise s\u00fcsteemidega integreerimiseks pakutakse madala taseme API-d, mis annab juurdep\u00e4\u00e4su metaandmetele, ja k\u00f5rge taseme kliendi API-d ngclient, mis on valmis \u00f6kos\u00fcsteemi integreerimiseks. <\/p>\n
TUF suudab ennetada mitmeid r\u00fcnnakute vorme, sealhulgas vana versiooni asendamist uuendustega eesm\u00e4rgiga takistada haavatavuste parandamist tarkvaras v\u00f5i kasutaja tagasiviimist vanale haavatavale versioonile, samuti kuritarvitused, mis edendavad pahatahtlikke uuendusi, mis on \u00f5igesti allkirjastatud kompromiteeritud v\u00f5tmega, ja DoS-r\u00fcnnakud klientide vastu, sealhulgas ketta t\u00e4itmine l\u00f5putute uuendustega. <\/p>\n
Tarkvarapakkuja infrastruktuuri kompromiteerimise kaitse saavutatakse, s\u00e4ilitades eraldi kontrollitavad kirjed repositooriumi v\u00f5i rakenduse olekust. Kontrollitavad TUF metaandmed sisaldavad teavet usaldusv\u00e4\u00e4rsete v\u00f5tmete kohta, kr\u00fcptograafilisi r\u00e4sim\u00e4rke failide terviklikkuse hindamiseks, t\u00e4iendavaid digitaalallkirju metaandmete kinnitamiseks, versiooninumbrite teavet ja andmeid kirje eluea kohta. Verifitseerimiseks kasutatavatele v\u00f5tmetele on m\u00e4\u00e4ratud piiratud kehtivusaeg ning nende pidev uuendamine on vajalik, et kaitsta end vanade v\u00f5tmete allkirjastamise eest. <\/p>\n
Risk of compromising the entire system is reduced through a trust-separation model, where each party is limited to the area for which they are directly responsible. The system employs a hierarchy of roles with their own keys; for example, the root role signs keys for roles responsible for metadata in the repository, data regarding the time of update creation, and target builds. In turn, the role responsible for builds signs roles related to the validation of delivered files.
<\/center> <\/p>\n
To prevent key compromise, a mechanism for immediate revocation and replacement of keys is utilized. Each individual key encompasses only the minimally necessary permissions, and multiple keys are required for validation operations (the leakage of a single key does not allow for immediate attacks on the client, and compromising the entire system requires seizing keys from all participants). The client can only accept files created later than those already received, and data is uploaded only in accordance with the size specified in the validated metadata. <\/p>\n
Avaldatud TUF 1.0.0 v\u00e4ljaanne pakub t\u00e4iesti \u00fcmber kirjutatud ja stabiliseeritud TUF spetsifikatsiooni, mida saab kasutada valmistootena oma rakenduste loomisel v\u00f5i integreerimiseks oma projektidesse. Uus teostus sisaldab oluliselt v\u00e4hem koodi (1400 rida 4700 asemel), on lihtsam hooldada ja seda on kerge laiendada, n\u00e4iteks vajadusel spetsiifiliste v\u00f5rgu- ja salvestuss\u00fcsteemide v\u00f5i kr\u00fcpteerimisalgoritmide toe lisamiseks. \n Allikas: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Saadaval](\"\/wp-content\/uploads\/2022\/03\/e88156df6bdc88b840e7f230c7588cbb.jpg\")
<\/center> <\/p>\n