{"id":103534,"date":"2022-03-14T15:36:53","date_gmt":"2022-03-14T13:36:55","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/dostupen-tuf-1-0-frejmvork-dlya-organizaczii-bezopasnoj-dostavki-obnovlenij"},"modified":"2022-03-14T15:36:53","modified_gmt":"2022-03-14T13:36:55","slug":"dostupen-tuf-1-0-frejmvork-dlya-organizaczii-bezopasnoj-dostavki-obnovlenij","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/dostupen-tuf-1-0-frejmvork-dlya-organizaczii-bezopasnoj-dostavki-obnovlenij","title":{"rendered":"Dost\u0119pny TUF 1.0, framework do organizacji bezpiecznej dostawy aktualizacji","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Wydano wersj\u0119 frameworka TUF 1.0 (The Update Framework), kt\u00f3ra oferuje narz\u0119dzia do bezpiecznego sprawdzania dost\u0119pno\u015bci i pobierania aktualizacji. G\u0142\u00f3wnym celem projektu jest ochrona klienta przed typowymi atakami na repozytoria i infrastruktur\u0119, w tym przeciwdzia\u0142anie promocji przez cyberprzest\u0119pc\u00f3w fa\u0142szywych aktualizacji stworzonych po uzyskaniu dost\u0119pu do kluczy do generowania podpis\u00f3w cyfrowych lub kompromitacji repozytori\u00f3w. Projekt rozwija si\u0119 pod egid\u0105 organizacji Linux Foundation i jest stosowany w celu zwi\u0119kszenia bezpiecze\u0144stwa dostarczania aktualizacji w takich projektach jak Docker, Fuchsia, Automotive Grade Linux, Bottlerocket i PyPI (w\u0142\u0105czenie weryfikacji pobra\u0144 i metadanych w PyPI jest planowane na najbli\u017cszy czas). Kod referencyjnej implementacji TUF napisany jest w j\u0119zyku Python i rozpowszechniany na licencji Apache 2.0. <\/p>\n
Projekt rozwija seri\u0119 bibliotek, format\u00f3w plik\u00f3w i narz\u0119dzi, kt\u00f3re mo\u017cna \u0142atwo zintegrowa\u0107 z istniej\u0105cymi systemami aktualizacji aplikacji, zapewniaj\u0105c ochron\u0119 w przypadku kompromitacji kluczy po stronie deweloper\u00f3w oprogramowania. Aby u\u017cywa\u0107 TUF, wystarczy doda\u0107 odpowiednie metadane do repozytorium oraz zintegrowa\u0107 dostarczane przez TUF procedury do pobierania i weryfikacji plik\u00f3w w kodzie klienta. <\/p>\n
Framework TUF przejmuje zadania zwi\u0105zane ze sprawdzaniem dost\u0119pno\u015bci aktualizacji, pobieraniem aktualizacji i weryfikacj\u0105 ich integralno\u015bci. System instalacji aktualizacji nie przeplata si\u0119 bezpo\u015brednio z dodatkowymi metadanymi, kt\u00f3rych weryfikacj\u0119 i pobieranie przejmuje TUF. W celu integracji z aplikacjami i systemami instalacji aktualizacji oferowane jest niskopoziomowe API do dost\u0119pu do metadanych oraz realizacja wysokopoziomowego klienta API ngclient, gotowego do integracji z aplikacjami. <\/p>\n
Spo\u015br\u00f3d atak\u00f3w, kt\u00f3rym TUF mo\u017ce przeciwdzia\u0142a\u0107, wyr\u00f3\u017cniaj\u0105 si\u0119 zamiana starych wersji na aktualizacje w celu zablokowania \u0142atania luk w oprogramowaniu lub przywracania u\u017cytkownika do starej, podatnej wersji, a tak\u017ce promocja z\u0142o\u015bliwych aktualizacji, poprawnie podpisanych przy u\u017cyciu skompromitowanego klucza, realizacja atak\u00f3w DoS na klient\u00f3w, takich jak zape\u0142nianie dysku niesko\u0144czonymi aktualizacjami. <\/p>\n
Ochrona przed kompromitacj\u0105 infrastruktury dostawcy oprogramowania osi\u0105gana jest poprzez utrzymywanie oddzielnych zweryfikowanych rejestr\u00f3w stanu repozytorium lub aplikacji. Weryfikowalne metadane TUF zawieraj\u0105 informacje o zaufanych kluczach, kryptograficzne hashe do oceny integralno\u015bci plik\u00f3w, dodatkowe podpisy cyfrowe do uwierzytelnienia metadanych, informacje o numerach wersji oraz dane dotycz\u0105ce okresu wa\u017cno\u015bci rejestr\u00f3w. Klucze u\u017cywane do weryfikacji maj\u0105 ograniczony czas \u017cycia i wymagaj\u0105 sta\u0142ej aktualizacji w celu ochrony przed podpisywaniem za pomoc\u0105 starych kluczy. <\/p>\n
Redukcja ryzyka kompromitacji ca\u0142ego systemu realizowana jest dzi\u0119ki wykorzystaniu modelu podzia\u0142u zaufania, w kt\u00f3rym ka\u017cda strona jest ograniczona jedynie do obszaru, za kt\u00f3ry bezpo\u015brednio odpowiada. W systemie stosuje si\u0119 hierarchi\u0119 r\u00f3l z w\u0142asnymi kluczami, na przyk\u0142ad rola g\u0142\u00f3wna podpisuje klucze dla r\u00f3l odpowiedzialnych za metadane w repozytorium, dane o czasie tworzenia aktualizacji i docelowe kompilacje, z kolei rola odpowiedzialna za kompilacje podpisuje role zwi\u0105zane z uwierzytelnieniem dostarczanych plik\u00f3w.
<\/center> <\/p>\n
W celu ochrony przed kompromitacj\u0105 kluczy stosowany jest mechanizm natychmiastowego odwo\u0142ania i wymiany kluczy. W ka\u017cdym poszczeg\u00f3lnym kluczu skoncentrowane s\u0105 jedynie minimalnie niezb\u0119dne uprawnienia, a do operacji uwierzytelniania wymagane jest u\u017cycie kilku kluczy (ujawnienie pojedynczego klucza nie pozwala na natychmiastowy atak na klienta, natomiast do kompromitacji ca\u0142ego systemu konieczne jest przej\u0119cie kluczy wszystkich uczestnik\u00f3w). Klient mo\u017ce akceptowa\u0107 jedynie pliki utworzone p\u00f3\u017aniej ni\u017c ju\u017c wcze\u015bniej otrzymane pliki, a dane s\u0105 \u0142adowane jedynie zgodnie z rozmiarem okre\u015blonym w zweryfikowanych metadanych. <\/p>\n
Opublikowana wersja TUF 1.0.0 oferuje ca\u0142kowicie przepisane i stabilizowane wzorcowe wdro\u017cenie specyfikacji TUF, kt\u00f3re mo\u017ce by\u0107 u\u017cywane jako gotowy przyk\u0142ad przy tworzeniu w\u0142asnych wdro\u017ce\u0144 lub do integracji w swoich projektach. Nowe wdro\u017cenie zawiera znacznie mniej kodu (1400 linii zamiast 4700), jest \u0142atwiejsze w utrzymaniu i mo\u017ce by\u0107 \u0142atwo rozszerzane, na przyk\u0142ad w przypadku potrzeby dodania wsparcia dla specyficznych stos\u00f3w sieciowych, system\u00f3w przechowywania lub algorytm\u00f3w szyfrowania. \n \u0179r\u00f3d\u0142o: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Dost\u0119pny](\"\/wp-content\/uploads\/2022\/03\/e88156df6bdc88b840e7f230c7588cbb.jpg\")
<\/center> <\/p>\n