안전한 업데이트 제공을 위한 프레임워크인 TUF 1.0을 사용할 수 있습니다.

업데이트를 안전하게 확인하고 다운로드할 수 있는 도구를 제공하는 TUF 1.0(업데이트 프레임워크) 릴리스가 출시되었습니다. 이 프로젝트의 주요 목표는 공격자가 디지털 서명을 생성하거나 저장소를 손상시키기 위해 키에 액세스한 후 생성된 가상 업데이트를 홍보하는 것에 대응하는 것을 포함하여 저장소 및 인프라에 대한 일반적인 공격으로부터 클라이언트를 보호하는 것입니다. 이 프로젝트는 Linux Foundation의 후원으로 개발되었으며 Docker, Fuchsia, Automotive Grade Linux, Bottlerocket 및 PyPI와 같은 프로젝트에서 업데이트 제공 보안을 향상하는 데 사용됩니다(PyPI에 다운로드 확인 및 메타데이터가 포함될 것으로 예상됨). 가까운 미래). TUF 참조 구현 코드는 Python으로 작성되었으며 Apache 2.0 라이센스에 따라 배포됩니다.

이 프로젝트는 기존 애플리케이션 업데이트 시스템에 쉽게 통합될 수 있는 일련의 라이브러리, 파일 형식 및 유틸리티를 개발하여 소프트웨어 개발자 측에서 주요 손상이 발생할 경우 보호를 제공합니다. TUF를 사용하려면 필요한 메타데이터를 저장소에 추가하고 파일을 다운로드하고 확인하기 위해 TUF에서 제공하는 절차를 클라이언트 코드에 통합하는 것으로 충분합니다.

TUF 프레임워크는 업데이트 확인, 업데이트 다운로드 및 무결성 확인 작업을 수행합니다. 업데이트 설치 시스템은 TUF가 확인하고 로드하는 추가 메타데이터를 직접적으로 방해하지 않습니다. 애플리케이션 및 업데이트 설치 시스템과의 통합을 위해 메타데이터 액세스를 위한 하위 수준 API와 애플리케이션과 통합할 준비가 된 상위 수준 클라이언트 API ngclient 구현이 제공됩니다.

TUF가 대응할 수 있는 공격 중에는 소프트웨어 취약성 수정이나 사용자가 취약한 이전 버전으로 롤백하는 것을 차단하기 위해 업데이트로 가장한 이전 릴리스를 대체하는 것, 손상된 코드를 사용하여 올바르게 서명된 악성 업데이트를 홍보하는 것 등이 있습니다. 키, 끝없는 업데이트로 디스크를 채우는 등 클라이언트에 대한 DoS 공격.

소프트웨어 제공업체의 인프라 손상으로부터 보호하는 것은 저장소 또는 애플리케이션 상태에 대한 별도의 검증 가능한 기록을 유지함으로써 달성됩니다. TUF가 검증한 메타데이터에는 신뢰할 수 있는 키에 대한 정보, 파일의 무결성을 평가하기 위한 암호화 해시, 메타데이터 검증을 위한 추가 디지털 서명, 버전 번호에 대한 정보, 기록 수명에 대한 정보가 포함됩니다. 검증에 사용되는 키는 수명이 제한되어 있으며 오래된 키로 인한 서명 형성을 방지하려면 지속적인 업데이트가 필요합니다.

전체 시스템의 손상 위험을 줄이는 것은 각 당사자가 직접 책임이 있는 영역으로만 제한되는 공유 신뢰 모델을 사용하여 달성됩니다. 시스템은 자체 키가 있는 역할 계층 구조를 사용합니다. 예를 들어 루트 역할은 저장소의 메타데이터를 담당하는 역할에 대한 키를 서명하고, 업데이트 및 대상 어셈블리 생성 시간에 대한 데이터를 서명하고, 어셈블리 서명을 담당하는 역할을 서명합니다. 전달된 파일의 인증과 관련된 역할.

키 손상을 방지하기 위해 키를 즉시 취소하고 교체하는 메커니즘이 사용됩니다. 각 개별 키에는 필요한 최소한의 권한만 포함되어 있으며 인증 작업에는 여러 개의 키를 사용해야 합니다(단일 키가 유출되어도 클라이언트에 대한 즉각적인 공격이 허용되지 않으며 전체 시스템을 손상시키려면 모든 참가자의 키를 보호해야 합니다). 캡처). 클라이언트는 이전에 받은 파일보다 최신 파일만 허용할 수 있으며, 데이터는 인증된 메타데이터에 지정된 크기에 따라서만 다운로드됩니다.

TUF 1.0.0의 게시된 릴리스는 자체 구현을 생성하거나 프로젝트에 통합할 때 미리 만들어진 예로 사용할 수 있는 TUF 사양의 완전히 재작성되고 ​​안정화된 참조 구현을 제공합니다. 새로운 구현에는 훨씬 적은 코드(1400줄 대신 4700줄)가 포함되어 있으며 유지 관리가 더 쉽고 예를 들어 특정 네트워크 스택, 스토리지 시스템 또는 암호화 알고리즘에 대한 지원을 추가해야 하는 경우 쉽게 확장할 수 있습니다.

출처 : opennet.ru