È stata pubblicata la versione 1.0 del framework TUF (The Update Framework), che fornisce strumenti per la verifica sicura della disponibilità e il download degli aggiornamenti. L'obiettivo principale del progetto è proteggere i client da attacchi comuni a repository e infrastrutture, inclusa la prevenzione della promozione di aggiornamenti falsi da parte di malintenzionati che hanno accesso alle chiavi per la creazione di firme digitali o che hanno compromesso il repository. Il progetto è sviluppato sotto l'egida della Linux Foundation e viene utilizzato per migliorare la sicurezza della distribuzione degli aggiornamenti in progetti come Docker, Fuchsia, Automotive Grade Linux, Bottlerocket e PyPI (l'inclusione della verifica dei download e dei metadati in PyPI è prevista a breve). Il codice di riferimento di implementazione di TUF è scritto in Python e distribuito sotto licenza Apache 2.0.
Il progetto sviluppa una serie di librerie, formati di file e utilità che possono integrarsi facilmente nei sistemi esistenti di aggiornamento delle applicazioni, garantendo protezione in caso di compromissione delle chiavi da parte degli sviluppatori software. Per utilizzare TUF, è sufficiente aggiungere nel repository i metadati necessari e integrare nel codice client le procedure fornite da TUF per il download e la verifica dei file.
Il framework TUF si occupa delle operazioni di verifica della disponibilità di aggiornamenti, download degli aggiornamenti e verifica della loro integrità. Il sistema di installazione degli aggiornamenti non si sovrappone direttamente ai metadati aggiuntivi, la cui verifica e download sono gestiti da TUF. Per l'integrazione con applicazioni e sistemi di installazione degli aggiornamenti, è previsto un'API a basso livello per accedere ai metadati e l'implementazione di un'API client ad alto livello, ngclient, pronta per l'integrazione con le applicazioni.
Tra gli attacchi ai quali TUF può opporre resistenza, si segnalano la sostituzione di vecchie versioni con nuove per bloccare la correzione delle vulnerabilità nel software o il ripristino dell'utente a una vecchia versione vulnerabile, così come la promozione di aggiornamenti dannosi, correttamente firmati con l'uso di una chiave compromessa, e l'esecuzione di attacchi DoS sui clienti, come il riempimento del disco con un aggiornamento infinito.
La protezione contro la compromissione dell'infrastruttura del fornitore di software si raggiunge mantenendo registrazioni separate e verificabili dello stato del repository o dell'applicazione. I metadati TUF verificabili includono informazioni su chiavi fidate, hash crittografici per valutare l'integrità dei file, firme digitali aggiuntive che attestano i metadati, informazioni sui numeri di versione e dati sulla durata della vita delle registrazioni. Le chiavi utilizzate per la verifica hanno una durata limitata e richiedono un aggiornamento costante per proteggere dalla firma con chiavi obsolete.
La riduzione del rischio di compromissione dell'intero sistema si realizza attraverso l'uso di un modello di separazione della fiducia, in cui ogni parte è limitata solo all'ambito per cui è direttamente responsabile. Nel sistema viene utilizzata un'eterarchia di ruoli con le proprie chiavi; per esempio, il ruolo root firma le chiavi per i ruoli responsabili dei metadati nel repository, le informazioni relative al tempo di generazione degli aggiornamenti e le build di destinazione. A sua volta, il ruolo responsabile delle build firma i ruoli legati alla convalida dei file forniti.
Per proteggere dalla compromissione delle chiavi, viene utilizzato un meccanismo di revoca e sostituzione delle chiavi. Ogni singola chiave concentra solo le autorizzazioni minime necessarie, e per le operazioni di convalida è richiesta l'applicazione di più chiavi (la fuga di una singola chiave non consente immediatamente di attaccare il cliente, e per compromettere l'intero sistema è necessario catturare le chiavi di tutti i partecipanti). Il cliente può accettare solo file creati successivamente a quelli già ricevuti, e i dati vengono caricati solo in conformità alle dimensioni stabilite nei metadati convalidati.
La versione pubblicata di TUF 1.0.0 offre un'implementazione completamente riscritta e stabilizzata dello standard TUF, utilizzabile come esempio pronto per la creazione delle proprie implementazioni o per l'integrazione nei propri progetti. La nuova implementazione contiene sostanzialmente meno codice (1400 righe invece di 4700), è più facile da mantenere e può essere facilmente estesa, ad esempio, se necessario per aggiungere supporto per stack di rete specifici, sistemi di archiviazione o algoritmi di crittografia.
Fonte: opennet.ru
