{"id":100532,"date":"2021-06-17T22:23:06","date_gmt":"2021-06-17T20:23:08","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/google-predlozhil-slsa-dlya-zashhity-ot-vredonosnyh-izmenenij-v-proczesse-razrabotki"},"modified":"2021-06-17T22:23:06","modified_gmt":"2021-06-17T20:23:08","slug":"google-predlozhil-slsa-dlya-zashhity-ot-vredonosnyh-izmenenij-v-proczesse-razrabotki","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/google-predlozhil-slsa-dlya-zashhity-ot-vredonosnyh-izmenenij-v-proczesse-razrabotki","title":{"rendered":"Google heeft SLSA aangeboden ter bescherming tegen kwaadaardige wijzigingen tijdens het ontwikkelproces.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Google heeft het SLSA (Supply-chain Levels for Software Artifacts) framework ge\u00efntroduceerd, dat de bestaande ervaringen samenvat met betrekking tot het beschermen van de ontwikkelinfrastructuur tegen aanvallen tijdens de stadia van coderen, testen, bouwen en verspreiden van een product. <\/p>\n
De ontwikkelingsprocessen worden steeds complexer en afhankelijker van externe tools, wat gunstige voorwaarden cre\u00ebert voor aanvallen die niet gericht zijn op het ontdekken en exploiteren van kwetsbaarheden in het eindproduct, maar op het compromitteren van het ontwikkelingsproces zelf (aanvallen genaamd 'supply chain', meestal gericht op het inbrengen van kwaadaardige wijzigingen in het codeerproces, of het vervangen van verspreide componenten en afhankelijkheden). <\/p>\n
Het framework houdt rekening met 8 soorten aanvallen die verband houden met de bedreigingen van het inbrengen van kwaadaardige wijzigingen tijdens de stadia van coderen, bouwen, testen en verspreiden van het product.
<\/center> <\/p>\n
\n
A. Het inbrengen van wijzigingen in de broncode die backdoors of verborgen fouten bevatten die tot kwetsbaarheden leiden.\n
Voorbeeld van een aanval: 'Hypocrite Commits' \u2014 een poging om patches met kwetsbaarheden in de Linux-kernel door te drukken. <\/p>\n
Voorgestelde beschermingsmethode: onafhankelijke beoordeling van elke wijziging door twee ontwikkelaars. <\/p>\n
B. Compromitteren van het platform voor broncodebeheer.\n
Voorbeeld van een aanval: het inbrengen van kwaadaardige commits met een backdoor in de Git-repository van het PHP-project na het uitlekken van ontwikkelaarswachtwoorden. <\/p>\n
Voorgestelde beschermingsmethode: verbetering van de beveiliging van het platform voor broncodebeheer (in het geval van PHP werd de aanval uitgevoerd via een weinig gebruikte HTTPS-interface die wijzigingen toestond zonder verificatie van de SSH-sleutel, terwijl een onbetrouwbare MD5 werd gebruikt voor het hashen van wachtwoorden). <\/p>\n
C. Wijzigingen aanbrengen tijdens de overdracht van code naar het build- of continue integratiesysteem (de gebouwde code komt niet overeen met de code in de repository).\n
Voorbeeld van een aanval: het inbrengen van een backdoor in Webmin door wijzigingen aan te brengen in de bouwinfrastructuur, waardoor bestanden met code werden gebruikt die verschilden van de bestanden in de repository. <\/p>\n
Voorgestelde beschermingsmethode: integriteitscontrole en identificatie van de bron van de binnenkomende code naar de build. de server<\/a>. <\/p>\n
![\"Google](\"\/wp-content\/uploads\/2021\/06\/d99f0d7ebc6009bcecf21f65f77dcf65.png\")
<\/center> <\/p>\n![\"Google](\"\/wp-content\/uploads\/2021\/06\/3f0bdd24afeec562582d8410b490e705.png\")
<\/center>