വികസന സമയത്ത് ക്ഷുദ്രകരമായ മാറ്റങ്ങളിൽ നിന്ന് പരിരക്ഷിക്കുന്നതിന് Google SLSA നിർദ്ദേശിച്ചു

ഗൂഗിൾ SLSA (സോഫ്റ്റ്‌വെയർ ആർട്ടിഫാക്‌റ്റുകൾക്കായുള്ള സപ്ലൈ-ചെയിൻ ലെവലുകൾ) ചട്ടക്കൂട് അവതരിപ്പിച്ചു, ഇത് കോഡ് എഴുതുക, ഒരു ഉൽപ്പന്നം പരീക്ഷിക്കുക, കൂട്ടിച്ചേർക്കുക, വിതരണം ചെയ്യുക തുടങ്ങിയ ഘട്ടങ്ങളിൽ നടത്തുന്ന ആക്രമണങ്ങളിൽ നിന്ന് വികസന ഇൻഫ്രാസ്ട്രക്ചറിനെ സംരക്ഷിക്കുന്നതിൽ നിലവിലുള്ള അനുഭവം സംഗ്രഹിക്കുന്നു.

വികസന പ്രക്രിയകൾ കൂടുതൽ സങ്കീർണ്ണമാവുകയും മൂന്നാം കക്ഷി ഉപകരണങ്ങളെ ആശ്രയിക്കുകയും ചെയ്യുന്നു, ഇത് അന്തിമ ഉൽപ്പന്നത്തിലെ കേടുപാടുകൾ തിരിച്ചറിയുകയും ചൂഷണം ചെയ്യുകയും ചെയ്യുന്നതുമായി ബന്ധപ്പെട്ട ആക്രമണങ്ങളുടെ പുരോഗതിക്ക് അനുകൂലമായ സാഹചര്യങ്ങൾ സൃഷ്ടിക്കുന്നു, മറിച്ച് വികസന പ്രക്രിയയിൽ തന്നെ വിട്ടുവീഴ്ച ചെയ്യുന്നു (വിതരണ ശൃംഖല ആക്രമണങ്ങൾ, സാധാരണയായി ലക്ഷ്യമിടുന്നത് കോഡ് എഴുതുന്ന പ്രക്രിയയിൽ ക്ഷുദ്രകരമായ മാറ്റങ്ങൾ അവതരിപ്പിക്കുന്നു, വിതരണം ചെയ്ത ഘടകങ്ങളും ആശ്രിതത്വങ്ങളും മാറ്റിസ്ഥാപിക്കുന്നു).

കോഡ് വികസനം, അസംബ്ലി, ടെസ്റ്റിംഗ്, ഉൽപ്പന്നത്തിന്റെ വിതരണം എന്നിവയുടെ ഘട്ടത്തിൽ ക്ഷുദ്രകരമായ മാറ്റങ്ങൾ വരുത്തുന്നതിനുള്ള ഭീഷണിയുമായി ബന്ധപ്പെട്ട 8 തരം ആക്രമണങ്ങൾ ചട്ടക്കൂട് കണക്കിലെടുക്കുന്നു.

• എ. പിൻവാതിലുകളോ മറഞ്ഞിരിക്കുന്ന പിശകുകളോ ഉള്ള സോഴ്‌സ് കോഡിലെ മാറ്റങ്ങൾ ഉൾപ്പെടെ.

  ഒരു ആക്രമണത്തിന്റെ ഉദാഹരണം: "കപട കമ്മിറ്റുകൾ" - ലിനക്സ് കേർണലിലേക്ക് കേടുപാടുകൾ ഉള്ള പാച്ചുകൾ പ്രൊമോട്ട് ചെയ്യാനുള്ള ഒരു ശ്രമം.

  നിർദ്ദേശിച്ച സുരക്ഷാ രീതി: രണ്ട് ഡെവലപ്പർമാരുടെ ഓരോ മാറ്റത്തിന്റെയും സ്വതന്ത്ര അവലോകനം.

• ബി. സോഴ്‌സ് കോഡ് നിയന്ത്രണ പ്ലാറ്റ്‌ഫോമിന്റെ വിട്ടുവീഴ്ച.

  ഒരു ആക്രമണത്തിന്റെ ഉദാഹരണം: ഡെവലപ്പർ പാസ്‌വേഡുകൾ ചോർന്നതിന് ശേഷം ഒരു പി‌എച്ച്‌പി പ്രോജക്റ്റിന്റെ ജിറ്റ് ശേഖരണത്തിലേക്ക് ബാക്ക്‌ഡോർ ഉപയോഗിച്ച് ക്ഷുദ്ര കമ്മിറ്റുകൾ കുത്തിവയ്ക്കുന്നത്.

  നിർദ്ദേശിച്ച പരിരക്ഷാ രീതി: കോഡ് മാനേജ്‌മെന്റ് പ്ലാറ്റ്‌ഫോമിന്റെ വർദ്ധിച്ച സുരക്ഷ (പിഎച്ച്പിയുടെ കാര്യത്തിൽ, ആക്രമണം നടന്നത് കുറച്ച് ഉപയോഗിച്ച HTTPS ഇന്റർഫേസിലൂടെയാണ്, ഇത് SSH കീ പരിശോധിക്കാതെ തന്നെ ഒരു പാസ്‌വേഡ് ഉപയോഗിച്ച് ലോഗിൻ ചെയ്യുമ്പോൾ മാറ്റങ്ങൾ അയയ്ക്കാൻ അനുവദിച്ചു. പാസ്‌വേഡുകൾ ഹാഷ് ചെയ്യാൻ വിശ്വസനീയമല്ലാത്ത MD5 ഉപയോഗിച്ചിരുന്നു എന്ന വസ്തുത).

• C. ബിൽഡ് അല്ലെങ്കിൽ തുടർച്ചയായ ഇന്റഗ്രേഷൻ സിസ്റ്റത്തിലേക്ക് കോഡ് ട്രാൻസ്ഫർ ചെയ്യുന്ന ഘട്ടത്തിൽ മാറ്റങ്ങൾ വരുത്തുന്നു (റിപ്പോസിറ്ററിയിൽ നിന്നുള്ള കോഡുമായി പൊരുത്തപ്പെടാത്ത കോഡ് നിർമ്മിച്ചിരിക്കുന്നു).

  ഒരു ആക്രമണത്തിന്റെ ഉദാഹരണം: ബിൽഡ് ഇൻഫ്രാസ്ട്രക്ചറിൽ മാറ്റങ്ങൾ വരുത്തിക്കൊണ്ട് വെബ്‌മിനിലേക്ക് ഒരു ബാക്ക്‌ഡോർ കുത്തിവയ്ക്കുന്നത്, ശേഖരത്തിലെ ഫയലുകളിൽ നിന്ന് വ്യത്യസ്തമായ കോഡ് ഫയലുകൾ ഉപയോഗിക്കുന്നതിന് കാരണമാകുന്നു.

  നിർദ്ദിഷ്ട പരിരക്ഷാ രീതി: അസംബ്ലി സെർവറിലെ സമഗ്രത പരിശോധിക്കുകയും കോഡിന്റെ ഉറവിടം തിരിച്ചറിയുകയും ചെയ്യുന്നു.

• D. അസംബ്ലി പ്ലാറ്റ്‌ഫോമിന്റെ ഒത്തുതീർപ്പ്.

  ഒരു ആക്രമണത്തിന്റെ ഉദാഹരണം: സോളാർ വിൻഡ്സ് ആക്രമണം, അസംബ്ലി ഘട്ടത്തിൽ സോളാർ വിൻഡ്സ് ഓറിയോൺ ഉൽപ്പന്നത്തിലേക്ക് ഒരു പിൻവാതിൽ സ്ഥാപിക്കുന്നത് ഉറപ്പാക്കപ്പെട്ടു.

  നിർദ്ദിഷ്ട സംരക്ഷണ രീതി: അസംബ്ലി പ്ലാറ്റ്‌ഫോമിനായി വിപുലമായ സുരക്ഷാ നടപടികൾ നടപ്പിലാക്കൽ.

• E. നിലവാരം കുറഞ്ഞ ഡിപൻഡൻസികളിലൂടെ ക്ഷുദ്ര കോഡിന്റെ പ്രമോഷൻ.

  ആക്രമണത്തിന്റെ ഒരു ഉദാഹരണം: നിരുപദ്രവകരമായ ആശ്രിതത്വം ചേർത്ത്, ഈ ഡിപൻഡൻസിയുടെ അപ്‌ഡേറ്റുകളിലൊന്നിൽ ക്ഷുദ്ര കോഡ് ഉൾപ്പെടുത്തിക്കൊണ്ട് ജനപ്രിയ ഇവന്റ്-സ്ട്രീം ലൈബ്രറിയിലേക്ക് ഒരു ബാക്ക്‌ഡോർ അവതരിപ്പിക്കുന്നത് (ക്ഷുദ്രകരമായ മാറ്റം ജിറ്റ് ശേഖരത്തിൽ പ്രതിഫലിച്ചില്ല, പക്ഷേ പൂർത്തിയായ MNP പാക്കേജിൽ മാത്രമേ ഉള്ളൂ).

  നിർദ്ദേശിച്ച പരിരക്ഷാ രീതി: എല്ലാ ഡിപൻഡൻസികൾക്കും SLSA ആവശ്യകതകൾ ആവർത്തിച്ച് പ്രയോഗിക്കുക (ഇവന്റ്-സ്ട്രീമിന്റെ കാര്യത്തിൽ, പ്രധാന Git റിപ്പോസിറ്ററിയുടെ ഉള്ളടക്കവുമായി പൊരുത്തപ്പെടാത്ത കോഡിന്റെ അസംബ്ലി ചെക്ക് വെളിപ്പെടുത്തും).

• F. CI/CD സിസ്റ്റത്തിൽ സൃഷ്ടിക്കാത്ത പുരാവസ്തുക്കൾ അപ്‌ലോഡ് ചെയ്യുന്നു.

  ഒരു ആക്രമണത്തിന്റെ ഉദാഹരണം: കോഡ്‌കോവ് സ്‌ക്രിപ്റ്റിലേക്ക് ക്ഷുദ്രകരമായ കോഡ് ചേർക്കുന്നു, ഇത് ഉപഭോക്തൃ തുടർച്ചയായ ഏകീകരണ സിസ്റ്റം പരിതസ്ഥിതികളിൽ സംഭരിച്ചിരിക്കുന്ന വിവരങ്ങൾ എക്‌സ്‌ട്രാക്റ്റുചെയ്യാൻ ആക്രമണകാരികളെ അനുവദിക്കുന്നു.

  നിർദ്ദിഷ്ട സംരക്ഷണ രീതി: പുരാവസ്തുക്കളുടെ ഉറവിടത്തിലും സമഗ്രതയിലും നിയന്ത്രണം (കോഡ്‌കോവിന്റെ കാര്യത്തിൽ, codecov.io വെബ്‌സൈറ്റിൽ നിന്ന് അയച്ച ബാഷ് അപ്‌ലോഡർ സ്‌ക്രിപ്റ്റ് പ്രോജക്റ്റ് ശേഖരത്തിൽ നിന്നുള്ള കോഡുമായി പൊരുത്തപ്പെടുന്നില്ലെന്ന് വെളിപ്പെടുത്താം).

• G. പാക്കേജ് റിപ്പോസിറ്ററിയുടെ വിട്ടുവീഴ്ച.

  ഒരു ആക്രമണത്തിന്റെ ഉദാഹരണം: ചില ജനപ്രിയ പാക്കേജ് ശേഖരണങ്ങൾ വഴി ക്ഷുദ്രകരമായ പാക്കേജുകൾ വിതരണം ചെയ്യുന്നതിനായി അവയുടെ മിററുകൾ വിന്യസിക്കാൻ ഗവേഷകർക്ക് കഴിഞ്ഞു.

  നിർദ്ദേശിച്ച സംരക്ഷണ രീതി: വിതരണം ചെയ്ത പുരാവസ്തുക്കൾ പ്രഖ്യാപിത സോഴ്സ് കോഡുകളിൽ നിന്നാണ് സമാഹരിച്ചതെന്ന് സ്ഥിരീകരണം.

• H. തെറ്റായ പാക്കേജ് ഇൻസ്റ്റാൾ ചെയ്യാൻ ഉപയോക്താവിനെ ആശയക്കുഴപ്പത്തിലാക്കുന്നു.

  ഒരു ആക്രമണത്തിന്റെ ഉദാഹരണം: ജനപ്രിയ ആപ്ലിക്കേഷനുകൾക്ക് (ഉദാഹരണത്തിന്, കോഫി-സ്ക്രിപ്റ്റിന് പകരം കോഫി-സ്ക്രിപ്റ്റ്) രേഖാമൂലമുള്ള പാക്കേജുകൾ ശേഖരണങ്ങളിൽ സ്ഥാപിക്കുന്നതിന് ടൈപ്പോസ്‌ക്വാറ്റിംഗ് (NPM, RubyGems, PyPI) ഉപയോഗിക്കുന്നു.

ഫ്ലാഗുചെയ്‌ത ഭീഷണികൾ തടയുന്നതിന്, SLSA ഒരു കൂട്ടം ശുപാർശകളും ഓഡിറ്റ് മെറ്റാഡാറ്റ സൃഷ്‌ടിക്കുന്നത് ഓട്ടോമേറ്റ് ചെയ്യുന്നതിനുള്ള ഉപകരണങ്ങളും വാഗ്ദാനം ചെയ്യുന്നു. SLSA പൊതുവായ ആക്രമണ രീതികൾ സംഗ്രഹിക്കുകയും സുരക്ഷാ പാളികൾ എന്ന ആശയം അവതരിപ്പിക്കുകയും ചെയ്യുന്നു. വികസനത്തിൽ ഉപയോഗിക്കുന്ന പുരാവസ്തുക്കളുടെ സമഗ്രത ഉറപ്പാക്കാൻ ഓരോ ലെവലും ചില അടിസ്ഥാന സൗകര്യ ആവശ്യകതകൾ ചുമത്തുന്നു. ഉയർന്ന പിന്തുണയുള്ള SLSA ലെവൽ, കൂടുതൽ പരിരക്ഷകൾ നടപ്പിലാക്കുകയും അടിസ്ഥാന സൗകര്യങ്ങൾ സാധാരണ ആക്രമണങ്ങളിൽ നിന്ന് സംരക്ഷിക്കപ്പെടുകയും ചെയ്യുന്നു.

• SLSA 1-ന്, ബിൽഡ് പ്രോസസ്സ് പൂർണ്ണമായും ഓട്ടോമേറ്റഡ് ആയിരിക്കണമെന്നും ഉറവിടങ്ങൾ, ഡിപൻഡൻസികൾ, ബിൽഡ് പ്രോസസ് എന്നിവയെക്കുറിച്ചുള്ള വിവരങ്ങൾ ഉൾപ്പെടെ ആർട്ടിഫാക്റ്റുകൾ എങ്ങനെ നിർമ്മിക്കപ്പെടുന്നു എന്നതിനെക്കുറിച്ചുള്ള മെറ്റാഡാറ്റ ("പ്രൊവെനൻസ്") ജനറേറ്റ് ചെയ്യണമെന്നും ആവശ്യപ്പെടുന്നു (ഓഡിറ്റിങ്ങിനുള്ള ഒരു ഉദാഹരണ മെറ്റാഡാറ്റ ജനറേറ്റർ GitHub പ്രവർത്തനങ്ങൾക്കായി നൽകിയിരിക്കുന്നു). SLSA 1 ക്ഷുദ്രകരമായ പരിഷ്‌ക്കരണങ്ങൾക്കെതിരായ പരിരക്ഷയുടെ ഘടകങ്ങൾ ഉൾക്കൊള്ളുന്നില്ല, പകരം കേവലം കോഡ് തിരിച്ചറിയുകയും കേടുപാടുകൾ കൈകാര്യം ചെയ്യുന്നതിനും അപകടസാധ്യത വിശകലനത്തിനുമായി മെറ്റാഡാറ്റ നൽകുകയും ചെയ്യുന്നു.
• SLSA 2 - ആധികാരികമായ മെറ്റാഡാറ്റ സൃഷ്ടിക്കുന്ന പതിപ്പ് നിയന്ത്രണവും അസംബ്ലി സേവനങ്ങളും ഉപയോഗിച്ച് ആദ്യ ലെവൽ വിപുലീകരിക്കുന്നു. SLSA 2-ന്റെ ഉപയോഗം, കോഡിന്റെ ഉത്ഭവം കണ്ടെത്താനും വിശ്വസനീയമായ ബിൽഡ് സേവനങ്ങളുടെ കാര്യത്തിൽ കോഡിലെ അനധികൃത മാറ്റങ്ങൾ തടയാനും നിങ്ങളെ അനുവദിക്കുന്നു.
• SLSA 3 - സോഴ്‌സ് കോഡും ബിൽഡ് പ്ലാറ്റ്‌ഫോമും കോഡ് ഓഡിറ്റ് ചെയ്യാനും നൽകിയിരിക്കുന്ന മെറ്റാഡാറ്റയുടെ സമഗ്രത ഉറപ്പാക്കാനുമുള്ള കഴിവ് ഉറപ്പുനൽകുന്ന മാനദണ്ഡങ്ങളുടെ ആവശ്യകതകൾ നിറവേറ്റുന്നുവെന്ന് സ്ഥിരീകരിക്കുന്നു. മാനദണ്ഡങ്ങളുടെ ആവശ്യകതകൾക്കെതിരെ ഓഡിറ്റർമാർക്ക് പ്ലാറ്റ്‌ഫോമുകൾ സാക്ഷ്യപ്പെടുത്താൻ കഴിയുമെന്ന് അനുമാനിക്കപ്പെടുന്നു.
• SLSA 4 ഏറ്റവും ഉയർന്ന ലെവലാണ്, മുൻ ലെവലുകൾ ഇനിപ്പറയുന്ന ആവശ്യകതകൾക്കൊപ്പം നൽകുന്നു:
  • രണ്ട് വ്യത്യസ്ത ഡവലപ്പർമാരുടെ എല്ലാ മാറ്റങ്ങളുടെയും നിർബന്ധിത അവലോകനം.
  • എല്ലാ ബിൽഡ് സ്റ്റെപ്പുകളും, കോഡും, ഡിപൻഡൻസികളും പൂർണ്ണമായി പ്രഖ്യാപിക്കണം, എല്ലാ ഡിപൻഡൻസികളും വെവ്വേറെ എക്‌സ്‌ട്രാക്റ്റ് ചെയ്യുകയും പരിശോധിച്ചുറപ്പിക്കുകയും വേണം, കൂടാതെ ബിൽഡ് പ്രോസസ്സ് ഓഫ്‌ലൈനായി നടത്തുകയും വേണം.
  • ആവർത്തിക്കാവുന്ന ബിൽഡ് പ്രോസസ്സ് ഉപയോഗിക്കുന്നത്, ബിൽഡ് പ്രോസസ്സ് സ്വയം ആവർത്തിക്കാനും എക്സിക്യൂട്ടബിൾ നൽകിയിരിക്കുന്ന സോഴ്സ് കോഡിൽ നിന്നാണ് നിർമ്മിച്ചിരിക്കുന്നതെന്ന് ഉറപ്പാക്കാനും നിങ്ങളെ അനുവദിക്കുന്നു.
  
  
  അവലംബം: opennet.ru