TUF 1.0 ઉપલબ્ધ છે, અપડેટ્સની સુરક્ષિત ડિલિવરી ગોઠવવા માટેનું માળખું

TUF 1.0 (ધ અપડેટ ફ્રેમવર્ક) નું પ્રકાશન પ્રકાશિત કરવામાં આવ્યું છે, જે અપડેટ્સ માટે સુરક્ષિત રીતે તપાસવા અને ડાઉનલોડ કરવા માટે સાધનો પ્રદાન કરે છે. પ્રોજેક્ટનો મુખ્ય ધ્યેય ક્લાયન્ટને રિપોઝીટરીઝ અને ઈન્ફ્રાસ્ટ્રક્ચર પરના લાક્ષણિક હુમલાઓથી બચાવવાનો છે, જેમાં ડિજિટલ સિગ્નેચર જનરેટ કરવા અથવા રિપોઝીટરી સાથે ચેડા કરવા માટે કીની ઍક્સેસ મેળવ્યા પછી બનાવેલ કાલ્પનિક અપડેટ્સના હુમલાખોરો દ્વારા પ્રમોશનનો સામનો કરવાનો સમાવેશ થાય છે. આ પ્રોજેક્ટ Linux ફાઉન્ડેશનના આશ્રય હેઠળ વિકસાવવામાં આવ્યો છે અને તેનો ઉપયોગ Docker, Fuchsia, Automotive Grade Linux, Bottlerocket અને PyPI (PyPI માં ડાઉનલોડ વેરિફિકેશન અને મેટાડેટાનો સમાવેશ) જેવા પ્રોજેક્ટ્સમાં અપડેટ ડિલિવરીની સુરક્ષાને બહેતર બનાવવા માટે થાય છે. નજીક ના ભવિષ્ય માં). TUF સંદર્ભ અમલીકરણ કોડ Python માં લખાયેલ છે અને Apache 2.0 લાયસન્સ હેઠળ વિતરિત કરવામાં આવે છે.

આ પ્રોજેક્ટ લાઇબ્રેરીઓ, ફાઇલ ફોર્મેટ્સ અને ઉપયોગિતાઓની શ્રેણી વિકસાવી રહ્યો છે જેને હાલની એપ્લિકેશન અપડેટ સિસ્ટમ્સમાં સરળતાથી એકીકૃત કરી શકાય છે, જે સોફ્ટવેર ડેવલપર્સની બાજુમાં મુખ્ય સમાધાનની સ્થિતિમાં સુરક્ષા પ્રદાન કરે છે. TUF નો ઉપયોગ કરવા માટે, રિપોઝીટરીમાં જરૂરી મેટાડેટા ઉમેરવા અને ક્લાયંટ કોડમાં ફાઇલોને ડાઉનલોડ કરવા અને ચકાસવા માટે TUF માં પ્રદાન કરેલ પ્રક્રિયાઓને એકીકૃત કરવા માટે તે પૂરતું છે.

TUF ફ્રેમવર્ક અપડેટ માટે તપાસવા, અપડેટ ડાઉનલોડ કરવા અને તેની અખંડિતતા ચકાસવાના કાર્યો કરે છે. અપડેટ ઇન્સ્ટોલેશન સિસ્ટમ વધારાના મેટાડેટામાં સીધી દખલ કરતી નથી, જેની ચકાસણી અને લોડિંગ TUF દ્વારા હાથ ધરવામાં આવે છે. એપ્લિકેશન્સ સાથે એકીકરણ અને અપડેટ ઇન્સ્ટોલેશન સિસ્ટમ્સ માટે, મેટાડેટાને ઍક્સેસ કરવા માટે નિમ્ન-સ્તરની API અને ઉચ્ચ-સ્તરની ક્લાયંટ API ngclientનું અમલીકરણ, એપ્લિકેશન્સ સાથે એકીકરણ માટે તૈયાર છે, ઓફર કરવામાં આવે છે.

TUF જે હુમલાઓનો સામનો કરી શકે છે તેમાં સૉફ્ટવેરની નબળાઈઓના સુધારણાને અવરોધિત કરવા અથવા જૂના નબળા સંસ્કરણમાં વપરાશકર્તાના રોલબેકને અવરોધિત કરવા માટે અપડેટ્સની આડમાં જૂના પ્રકાશનોની અવેજીમાં, તેમજ સમાધાનનો ઉપયોગ કરીને યોગ્ય રીતે સહી કરેલ દૂષિત અપડેટ્સનો પ્રચાર છે. કી, ક્લાયંટ પર DoS હુમલાઓ, જેમ કે અનંત અપડેટ્સ સાથે ડિસ્ક ભરવા.

સોફ્ટવેર પ્રદાતાના ઇન્ફ્રાસ્ટ્રક્ચર સાથે ચેડા સામે રક્ષણ રિપોઝીટરી અથવા એપ્લિકેશનની સ્થિતિના અલગ, ચકાસી શકાય તેવા રેકોર્ડ જાળવવા દ્વારા પ્રાપ્ત થાય છે. TUF દ્વારા ચકાસાયેલ મેટાડેટામાં વિશ્વાસ કરી શકાય તેવી કી વિશેની માહિતી, ફાઈલોની અખંડિતતાનું મૂલ્યાંકન કરવા માટે ક્રિપ્ટોગ્રાફિક હેશ, મેટાડેટાને ચકાસવા માટે વધારાના ડિજિટલ હસ્તાક્ષરો, સંસ્કરણ નંબરો વિશેની માહિતી અને રેકોર્ડના જીવનકાળ વિશેની માહિતીનો સમાવેશ થાય છે. ચકાસણી માટે વપરાતી ચાવીઓ મર્યાદિત આયુષ્ય ધરાવે છે અને જૂની ચાવીઓ દ્વારા હસ્તાક્ષરની રચના સામે રક્ષણ આપવા માટે તેને સતત અપડેટ કરવાની જરૂર પડે છે.

સમગ્ર સિસ્ટમના સમાધાનના જોખમને ઘટાડવું એ વહેંચાયેલ ટ્રસ્ટ મોડેલના ઉપયોગ દ્વારા પ્રાપ્ત થાય છે, જેમાં દરેક પક્ષ ફક્ત તે વિસ્તાર પૂરતો મર્યાદિત છે જેના માટે તે સીધી રીતે જવાબદાર છે. સિસ્ટમ તેમની પોતાની કી સાથે ભૂમિકાઓના વંશવેલોનો ઉપયોગ કરે છે, ઉદાહરણ તરીકે, રીપોઝીટરીમાં મેટાડેટા માટે જવાબદાર ભૂમિકાઓ માટે રૂટ રોલ સાઇન્સ કી, અપડેટ્સ અને લક્ષ્ય એસેમ્બલીઝના સમય પરનો ડેટા, બદલામાં, એસેમ્બલી ચિહ્નો માટે જવાબદાર ભૂમિકા વિતરિત ફાઇલોના પ્રમાણપત્ર સાથે સંકળાયેલ ભૂમિકાઓ.

કી સમાધાન સામે રક્ષણ આપવા માટે, પ્રોમ્પ્ટ રદબાતલ અને કીને બદલવા માટેની પદ્ધતિનો ઉપયોગ કરવામાં આવે છે. દરેક વ્યક્તિગત કીમાં માત્ર ન્યૂનતમ જરૂરી શક્તિઓ હોય છે, અને પ્રમાણીકરણ કામગીરી માટે ઘણી કીનો ઉપયોગ કરવાની જરૂર પડે છે (એક કીનો લીક ક્લાયંટ પર તાત્કાલિક હુમલો કરવાની મંજૂરી આપતું નથી, અને સમગ્ર સિસ્ટમ સાથે સમાધાન કરવા માટે, તમામ સહભાગીઓની ચાવીઓ હોવી આવશ્યક છે. કબજે). ક્લાયંટ ફક્ત તે જ ફાઇલો સ્વીકારી શકે છે જે અગાઉ પ્રાપ્ત કરેલી ફાઇલો કરતાં વધુ તાજેતરની હોય છે, અને પ્રમાણિત મેટાડેટામાં ઉલ્લેખિત કદ અનુસાર જ ડેટા ડાઉનલોડ થાય છે.

TUF 1.0.0 નું પ્રકાશિત પ્રકાશન TUF સ્પષ્ટીકરણના સંપૂર્ણ પુનઃલેખિત અને સ્થિર સંદર્ભ અમલીકરણ પ્રદાન કરે છે જેનો ઉપયોગ તમે તમારા પોતાના અમલીકરણો બનાવતી વખતે અથવા તમારા પ્રોજેક્ટ્સમાં એકીકરણ માટે તૈયાર ઉદાહરણ તરીકે કરી શકો છો. નવા અમલીકરણમાં નોંધપાત્ર રીતે ઓછા કોડ છે (1400 ને બદલે 4700 લાઇન), જાળવવા માટે સરળ છે અને સરળતાથી વિસ્તૃત કરી શકાય છે, ઉદાહરણ તરીકે, જો ચોક્કસ નેટવર્ક સ્ટેક્સ, સ્ટોરેજ સિસ્ટમ્સ અથવા એન્ક્રિપ્શન એલ્ગોરિધમ્સ માટે સમર્થન ઉમેરવું જરૂરી હોય તો.

સોર્સ: opennet.ru