មាន TUF 1.0 ដែលជាក្របខ័ណ្ឌសម្រាប់រៀបចំការចែកចាយបច្ចុប្បន្នភាពប្រកបដោយសុវត្ថិភាព

ការចេញផ្សាយ TUF 1.0 (The Update Framework) ត្រូវបានបោះពុម្ពដោយផ្តល់នូវឧបករណ៍សម្រាប់ពិនិត្យ និងទាញយកបច្ចុប្បន្នភាពដោយសុវត្ថិភាព។ គោលដៅចម្បងនៃគម្រោងគឺដើម្បីការពារអតិថិជនពីការវាយប្រហារធម្មតាលើឃ្លាំង និងហេដ្ឋារចនាសម្ព័ន្ធ រួមទាំងការប្រឆាំងនឹងការផ្សព្វផ្សាយដោយអ្នកវាយប្រហារនៃការអាប់ដេតប្រឌិតដែលបានបង្កើតបន្ទាប់ពីទទួលបានសិទ្ធិចូលប្រើសោសម្រាប់បង្កើតហត្ថលេខាឌីជីថល ឬការសម្របសម្រួលឃ្លាំង។ គម្រោងនេះត្រូវបានបង្កើតឡើងក្រោមការឧបត្ថម្ភរបស់មូលនិធិលីនុច ហើយត្រូវបានប្រើដើម្បីកែលម្អសុវត្ថិភាពនៃការចែកចាយបច្ចុប្បន្នភាពនៅក្នុងគម្រោងដូចជា Docker, Fuchsia, Automotive Grade Linux, Bottlerocket និង PyPI (ការដាក់បញ្ចូលការផ្ទៀងផ្ទាត់ទាញយក និងទិន្នន័យមេតានៅក្នុង PyPI ត្រូវបានរំពឹងទុកនៅក្នុង នាពេលខាងមុខ) ។ កូដការអនុវត្តសេចក្តីយោង TUF ត្រូវបានសរសេរនៅក្នុង Python និងចែកចាយក្រោមអាជ្ញាប័ណ្ណ Apache 2.0 ។

គម្រោងនេះកំពុងអភិវឌ្ឍស៊េរីនៃបណ្ណាល័យ ទ្រង់ទ្រាយឯកសារ និងឧបករណ៍ប្រើប្រាស់ដែលអាចត្រូវបានដាក់បញ្ចូលយ៉ាងងាយស្រួលទៅក្នុងប្រព័ន្ធអាប់ដេតកម្មវិធីដែលមានស្រាប់ ដោយផ្តល់ការការពារក្នុងករណីមានការសម្របសម្រួលសំខាន់ៗនៅផ្នែកខាងអ្នកបង្កើតកម្មវិធី។ ដើម្បីប្រើ TUF វាគ្រប់គ្រាន់ក្នុងការបន្ថែមទិន្នន័យមេតាចាំបាច់ទៅក្នុងឃ្លាំង ហើយបញ្ចូលនីតិវិធីដែលមាននៅក្នុង TUF សម្រាប់ការទាញយក និងផ្ទៀងផ្ទាត់ឯកសារទៅក្នុងកូដអតិថិជន។

ក្របខ័ណ្ឌ TUF ទទួលភារកិច្ចក្នុងការត្រួតពិនិត្យការអាប់ដេត ទាញយកការធ្វើបច្ចុប្បន្នភាព និងផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវរបស់វា។ ប្រព័ន្ធដំឡើងបច្ចុប្បន្នភាពមិនជ្រៀតជ្រែកដោយផ្ទាល់ជាមួយទិន្នន័យមេតាបន្ថែមទេ ការផ្ទៀងផ្ទាត់ និងការផ្ទុកដែលធ្វើឡើងដោយ TUF ។ សម្រាប់ការរួមបញ្ចូលជាមួយកម្មវិធី និងប្រព័ន្ធដំឡើងបច្ចុប្បន្នភាព API កម្រិតទាបសម្រាប់ការចូលប្រើទិន្នន័យមេតា និងការអនុវត្តកម្មវិធីអតិថិជនកម្រិតខ្ពស់ API ngclient ដែលត្រៀមរួចជាស្រេចសម្រាប់ការរួមបញ្ចូលជាមួយកម្មវិធីត្រូវបានផ្តល់ជូន។

ក្នុងចំណោមការវាយប្រហារដែល TUF អាចទប់ទល់បានគឺការជំនួសការចេញផ្សាយចាស់ៗក្រោមការបង្ហាញពីការអាប់ដេត ដើម្បីទប់ស្កាត់ការកែតម្រូវភាពងាយរងគ្រោះរបស់កម្មវិធី ឬការវិលត្រលប់របស់អ្នកប្រើទៅកាន់កំណែដែលងាយរងគ្រោះចាស់ ក៏ដូចជាការផ្សព្វផ្សាយការធ្វើបច្ចុប្បន្នភាពព្យាបាទដែលបានចុះហត្ថលេខាយ៉ាងត្រឹមត្រូវដោយប្រើការសម្របសម្រួល។ key, DoS វាយប្រហារលើអតិថិជន ដូចជាការបំពេញថាសជាមួយនឹងការអាប់ដេតគ្មានទីបញ្ចប់។

ការការពារប្រឆាំងនឹងការសម្របសម្រួលនៃហេដ្ឋារចនាសម្ព័ន្ធរបស់អ្នកផ្តល់កម្មវិធីត្រូវបានសម្រេចដោយការរក្សាកំណត់ត្រាដាច់ដោយឡែកដែលអាចផ្ទៀងផ្ទាត់បាននៃស្ថានភាពនៃឃ្លាំង ឬកម្មវិធី។ ទិន្នន័យមេតាដែលត្រូវបានផ្ទៀងផ្ទាត់ដោយ TUF រួមមានព័ត៌មានអំពីសោដែលអាចទុកចិត្តបាន កូដសម្ងាត់ដើម្បីវាយតម្លៃភាពត្រឹមត្រូវនៃឯកសារ ហត្ថលេខាឌីជីថលបន្ថែមដើម្បីផ្ទៀងផ្ទាត់ទិន្នន័យមេតា ព័ត៌មានអំពីលេខកំណែ និងព័ត៌មានអំពីអាយុកាលនៃកំណត់ត្រា។ សោដែលប្រើសម្រាប់ការផ្ទៀងផ្ទាត់មានអាយុកាលកំណត់ និងតម្រូវឱ្យធ្វើបច្ចុប្បន្នភាពជាប្រចាំដើម្បីការពារប្រឆាំងនឹងការបង្កើតហត្ថលេខាដោយសោចាស់។

ការកាត់បន្ថយហានិភ័យនៃការសម្របសម្រួលនៃប្រព័ន្ធទាំងមូលត្រូវបានសម្រេចតាមរយៈការប្រើប្រាស់គំរូនៃការជឿទុកចិត្តរួមគ្នា ដែលភាគីនីមួយៗត្រូវបានកំណត់ត្រឹមតែតំបន់ដែលខ្លួនទទួលខុសត្រូវផ្ទាល់ប៉ុណ្ណោះ។ ប្រព័ន្ធនេះប្រើឋានានុក្រមនៃតួនាទីជាមួយនឹងកូនសោផ្ទាល់របស់ពួកគេ ឧទាហរណ៍ តួនាទីជា root ចុះហត្ថលេខាលើកូនសោសម្រាប់តួនាទីដែលទទួលខុសត្រូវចំពោះទិន្នន័យមេតានៅក្នុងឃ្លាំង ទិន្នន័យអំពីពេលវេលានៃការបង្កើតបច្ចុប្បន្នភាព និងសន្និបាតគោលដៅ តួនាទីដែលទទួលខុសត្រូវចំពោះសញ្ញាសន្និបាត។ តួនាទីដែលទាក់ទងនឹងការបញ្ជាក់ឯកសារដែលបានបញ្ជូន។

ដើម្បីការពារប្រឆាំងនឹងការសម្របសម្រួលគន្លឹះ យន្តការសម្រាប់ការដកហូតភ្លាមៗ និងការជំនួសសោត្រូវបានប្រើ។ កូនសោនីមួយៗមានថាមពលចាំបាច់អប្បបរមាប៉ុណ្ណោះ ហើយប្រតិបត្តិការផ្ទៀងផ្ទាត់តម្រូវឱ្យប្រើប្រាស់សោជាច្រើន (ការលេចធ្លាយនៃសោតែមួយមិនអនុញ្ញាតឱ្យមានការវាយប្រហារភ្លាមៗលើម៉ាស៊ីនភ្ញៀវ និងដើម្បីសម្របសម្រួលប្រព័ន្ធទាំងមូល សោរបស់អ្នកចូលរួមទាំងអស់ត្រូវតែជា ចាប់បាន)។ ម៉ាស៊ីនភ្ញៀវអាចទទួលយកបានតែឯកសារដែលថ្មីៗជាងឯកសារដែលទទួលបានពីមុនប៉ុណ្ណោះ ហើយទិន្នន័យត្រូវបានទាញយកតាមទំហំដែលបានបញ្ជាក់នៅក្នុងទិន្នន័យមេតាដែលបានបញ្ជាក់ប៉ុណ្ណោះ។

ការចេញផ្សាយ TUF 1.0.0 ផ្តល់នូវការអនុវត្តសេចក្តីយោងដែលបានសរសេរឡើងវិញទាំងស្រុង និងមានស្ថេរភាពនៃការបញ្ជាក់ TUF ដែលអ្នកអាចប្រើជាឧទាហរណ៍ដែលត្រៀមរួចជាស្រេចនៅពេលបង្កើតការអនុវត្តផ្ទាល់របស់អ្នក ឬសម្រាប់ការរួមបញ្ចូលទៅក្នុងគម្រោងរបស់អ្នក។ ការអនុវត្តថ្មីមានលេខកូដតិចជាងច្រើន (1400 បន្ទាត់ជំនួសឱ្យ 4700) កាន់តែងាយស្រួលក្នុងការរក្សា និងអាចពង្រីកបានយ៉ាងងាយស្រួល ឧទាហរណ៍ ប្រសិនបើចាំបាច់ត្រូវបន្ថែមការគាំទ្រសម្រាប់បណ្តាញជង់ជាក់លាក់ ប្រព័ន្ធផ្ទុក ឬក្បួនដោះស្រាយការអ៊ិនគ្រីប។

ប្រភព: opennet.ru