{"id":103534,"date":"2022-03-14T15:36:53","date_gmt":"2022-03-14T13:36:55","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/dostupen-tuf-1-0-frejmvork-dlya-organizaczii-bezopasnoj-dostavki-obnovlenij"},"modified":"2022-03-14T15:36:53","modified_gmt":"2022-03-14T13:36:55","slug":"dostupen-tuf-1-0-frejmvork-dlya-organizaczii-bezopasnoj-dostavki-obnovlenij","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/news\/dostupen-tuf-1-0-frejmvork-dlya-organizaczii-bezopasnoj-dostavki-obnovlenij","title":{"rendered":"El\u00e9rhet\u0151 a TUF 1.0, a friss\u00edt\u00e9sek biztons\u00e1gos k\u00e9zbes\u00edt\u00e9s\u00e9nek keretrendszere.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Megjelent a TUF 1.0 (The Update Framework) keretrendszer, amely biztons\u00e1gos eszk\u00f6z\u00f6ket biztos\u00edt a friss\u00edt\u00e9sek el\u00e9rhet\u0151s\u00e9g\u00e9nek ellen\u0151rz\u00e9s\u00e9re \u00e9s let\u00f6lt\u00e9s\u00e9re. A projekt f\u0151 c\u00e9lja, hogy megv\u00e9dje az \u00fcgyfeleket a t\u00e1rol\u00f3kra \u00e9s az infrastrukt\u00far\u00e1kra ir\u00e1nyul\u00f3 tipikus t\u00e1mad\u00e1sokkal szemben, bele\u00e9rtve a rosszindulat\u00fa friss\u00edt\u00e9sek terjeszt\u00e9s\u00e9nek megakad\u00e1lyoz\u00e1s\u00e1t, amelyek a digit\u00e1lis al\u00e1\u00edr\u00e1sokhoz sz\u00fcks\u00e9ges kulcsok megszerz\u00e9se vagy a t\u00e1rol\u00f3 kompromitt\u00e1l\u00e1sa ut\u00e1n k\u00e9sz\u00fclnek. A projektet a Linux Foundation ir\u00e1ny\u00edt\u00e1sa alatt fejlesztik, \u00e9s a friss\u00edt\u00e9sek biztons\u00e1gos sz\u00e1ll\u00edt\u00e1s\u00e1nak jav\u00edt\u00e1s\u00e1ra alkalmazz\u00e1k olyan projektekben, mint a Docker, Fuchsia, Automotive Grade Linux, Bottlerocket \u00e9s PyPI (a PyPI let\u00f6lt\u00e9sek \u00e9s metadat\u00e1k ellen\u0151rz\u00e9s\u00e9nek bevezet\u00e9s\u00e9re a k\u00f6zelj\u00f6v\u0151ben sz\u00e1m\u00edthatunk). A TUF referenciak\u00f3dj\u00e1t Python nyelven \u00edrt\u00e1k, \u00e9s az Apache 2.0 licenc alatt terjesztik. <\/p>\n
A projekt keret\u00e9ben k\u00f6nyvt\u00e1rak, f\u00e1jlform\u00e1tumok \u00e9s eszk\u00f6z\u00f6k sorozata fejl\u0151dik, amelyek k\u00f6nnyen integr\u00e1lhat\u00f3k a megl\u00e9v\u0151 alkalmaz\u00e1sfriss\u00edt\u0151 rendszerekbe, biztos\u00edtva a v\u00e9delmet a szoftverfejleszt\u0151k kulcsainak kompromitt\u00e1l\u00e1sa eset\u00e9n. A TUF haszn\u00e1lat\u00e1hoz elegend\u0151 a sz\u00fcks\u00e9ges metadat\u00e1k hozz\u00e1ad\u00e1sa a t\u00e1rol\u00f3hoz, \u00e9s a kliensek k\u00f3dj\u00e1ba integr\u00e1lni a TUF \u00e1ltal biztos\u00edtott f\u00e1jlok let\u00f6lt\u00e9s\u00e9re \u00e9s ellen\u0151rz\u00e9s\u00e9re szolg\u00e1l\u00f3 elj\u00e1r\u00e1sokat. <\/p>\n
A TUF keretrendszer feladatai k\u00f6z\u00e9 tartozik a friss\u00edt\u00e9s megjelen\u00e9s\u00e9nek ellen\u0151rz\u00e9se, a friss\u00edt\u00e9s let\u00f6lt\u00e9se \u00e9s annak integrit\u00e1s\u00e1nak ellen\u0151rz\u00e9se. A friss\u00edt\u00e9sek telep\u00edt\u00e9si rendszere k\u00f6zvetlen\u00fcl nem \u00e9rintkezik a TUF \u00e1ltal kezelt metadat\u00e1kkal, amelyek ellen\u0151rz\u00e9s\u00e9\u00e9rt \u00e9s let\u00f6lt\u00e9s\u00e9\u00e9rt a TUF felel. Az alkalmaz\u00e1sokkal \u00e9s friss\u00edt\u00e9si rendszerekkel val\u00f3 integr\u00e1l\u00e1shoz alacsony szint\u0171 API-t aj\u00e1nlunk a metadat\u00e1k el\u00e9r\u00e9s\u00e9re, valamint a ngclient magas szint\u0171 kliens API-j\u00e1t, amely k\u00e9sz az alkalmaz\u00e1sokkal val\u00f3 integr\u00e1l\u00e1sra. <\/p>\n
A TUF elleni t\u00e1mad\u00e1sok k\u00f6z\u00e9 tartozik az \u00f6reg verzi\u00f3k friss\u00edt\u00e9sekkel val\u00f3 helyettes\u00edt\u00e9se, hogy megakad\u00e1lyozz\u00e1k a sebezhet\u0151s\u00e9gek jav\u00edt\u00e1s\u00e1t a szoftverben, vagy hogy a felhaszn\u00e1l\u00f3t vissza\u00e1ll\u00edts\u00e1k egy r\u00e9gi, sebezhet\u0151 verzi\u00f3ra, valamint a kompromitt\u00e1lt kulccsal helyesen al\u00e1\u00edrt rosszindulat\u00fa friss\u00edt\u00e9sek terjeszt\u00e9se, valamint DoS-t\u00e1mad\u00e1sok v\u00e9grehajt\u00e1sa az \u00fcgyfeleken, p\u00e9ld\u00e1ul v\u00e9gtelen friss\u00edt\u00e9ssel t\u00f6rt\u00e9n\u0151 lemezfelt\u00f6lt\u00e9ssel. <\/p>\n
A szoftverszolg\u00e1ltat\u00f3 infrastrukt\u00far\u00e1j\u00e1nak kompromitt\u00e1l\u00f3d\u00e1sa ellen a t\u00e1rol\u00f3 vagy alkalmaz\u00e1s \u00e1llapot\u00e1r\u00f3l sz\u00f3l\u00f3 k\u00fcl\u00f6n\u00e1ll\u00f3, ellen\u0151rizhet\u0151 nyilv\u00e1ntart\u00e1sok fenntart\u00e1s\u00e1val v\u00e9dekeznek. Az ellen\u0151rizhet\u0151 TUF metaadatok tartalmazz\u00e1k azokat a kulcsokkal kapcsolatos inform\u00e1ci\u00f3kat, amelyekben megb\u00edzhatunk, a f\u00e1jlok integrit\u00e1s\u00e1nak \u00e9rt\u00e9kel\u00e9s\u00e9hez sz\u00fcks\u00e9ges kriptogr\u00e1fiai hash-eket, a metaadatok hiteles\u00edt\u00e9s\u00e9hez sz\u00fcks\u00e9ges tov\u00e1bbi digit\u00e1lis al\u00e1\u00edr\u00e1sokat, a verzi\u00f3sz\u00e1mokkal kapcsolatos inform\u00e1ci\u00f3kat \u00e9s a nyilv\u00e1ntart\u00e1sok \u00e9lettartam\u00e1ra vonatkoz\u00f3 adatokat. Az ellen\u0151rz\u00e9shez haszn\u00e1lt kulcsoknak korl\u00e1tozott \u00e9lettartama van, \u00e9s folyamatos friss\u00edt\u00e9st ig\u00e9nyelnek, hogy megakad\u00e1lyozz\u00e1k a r\u00e9gi kulcsokkal t\u00f6rt\u00e9n\u0151 al\u00e1\u00edr\u00e1st. <\/p>\n
A teljes rendszer kompromitt\u00e1l\u00f3d\u00e1s\u00e1nak kock\u00e1zat\u00e1t a bizalommegoszt\u00e1si modell alkalmaz\u00e1s\u00e1val cs\u00f6kkentik, amelyben minden f\u00e9l csak arra a ter\u00fcletre van korl\u00e1tozva, amely\u00e9rt k\u00f6zvetlen\u00fcl felel\u0151s. A rendszer egy hierarchikus szerepl\u0151i modellt haszn\u00e1l saj\u00e1t kulcsaival, p\u00e9ld\u00e1ul a gy\u00f6k\u00e9rszerep al\u00e1\u00edrja a t\u00e1rol\u00f3 metaadatai\u00e9rt felel\u0151s szerepek kulcsait, a friss\u00edt\u00e9sek id\u0151pontj\u00e1ra \u00e9s a c\u00e9lzott \u00f6ssze\u00e1ll\u00edt\u00e1sokra vonatkoz\u00f3 adatokat, m\u00edg az \u00f6ssze\u00e1ll\u00edt\u00e1s\u00e9rt felel\u0151s szerep al\u00e1\u00edrja az \u00e1tadott f\u00e1jlok hiteles\u00edt\u00e9s\u00e9vel kapcsolatos szerepeket.
<\/center> <\/p>\n
A kulcsok kompromitt\u00e1l\u00f3d\u00e1sa ellen a kulcsok gyors visszavon\u00e1s\u00e1nak \u00e9s cser\u00e9j\u00e9nek mechanizmusa v\u00e9di. Minden egyes kulcsban csak a minim\u00e1lisan sz\u00fcks\u00e9ges jogk\u00f6r\u00f6ket \u00f6sszpontos\u00edtj\u00e1k, \u00e9s a hiteles\u00edt\u00e9si m\u0171veletekhez t\u00f6bb kulcs haszn\u00e1lata sz\u00fcks\u00e9ges (egyetlen kulcs kisziv\u00e1rg\u00e1sa nem teszi lehet\u0151v\u00e9 azonnal a kliens t\u00e1mad\u00e1s\u00e1t, m\u00edg az eg\u00e9sz rendszer kompromitt\u00e1l\u00e1s\u00e1hoz az \u00f6sszes r\u00e9sztvev\u0151 kulcs\u00e1nak birtokl\u00e1sa sz\u00fcks\u00e9ges). A kliens csak olyan f\u00e1jlokat fogadhat el, amelyek k\u00e9s\u0151bb k\u00e9sz\u00fcltek, mint a m\u00e1r kor\u00e1bban kapott f\u00e1jlok, \u00e9s az adatok csak a hiteles\u00edtett metaadatokban megadott m\u00e9rethez k\u00e9pest t\u00f6lthet\u0151k le. <\/p>\n
A TUF 1.0.0 kiad\u00e1sa teljesen \u00e1t\u00edrt \u00e9s stabiliz\u00e1lt referencia-implement\u00e1ci\u00f3t k\u00edn\u00e1l a TUF specifik\u00e1ci\u00f3hoz, amely k\u00e9sz p\u00e9ldak\u00e9nt haszn\u00e1lhat\u00f3 saj\u00e1t implement\u00e1ci\u00f3k l\u00e9trehoz\u00e1s\u00e1hoz vagy integr\u00e1l\u00e1s\u00e1hoz. Az \u00faj implement\u00e1ci\u00f3 l\u00e9nyegesen kevesebb k\u00f3dot tartalmaz (1400 sor a 4700 helyett), egyszer\u0171bben karbantarthat\u00f3, \u00e9s k\u00f6nnyen b\u0151v\u00edthet\u0151, p\u00e9ld\u00e1ul ha specifikus h\u00e1l\u00f3zati verem, t\u00e1rol\u00e1si rendszerek vagy titkos\u00edt\u00e1si algoritmusok t\u00e1mogat\u00e1s\u00e1nak hozz\u00e1ad\u00e1s\u00e1ra van sz\u00fcks\u00e9g. \n Forr\u00e1s: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"El\u00e9rhet\u0151](\"\/wp-content\/uploads\/2022\/03\/e88156df6bdc88b840e7f230c7588cbb.jpg\")
<\/center> <\/p>\n