{"id":100532,"date":"2021-06-17T22:23:06","date_gmt":"2021-06-17T20:23:08","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/google-predlozhil-slsa-dlya-zashhity-ot-vredonosnyh-izmenenij-v-proczesse-razrabotki"},"modified":"2021-06-17T22:23:06","modified_gmt":"2021-06-17T20:23:08","slug":"google-predlozhil-slsa-dlya-zashhity-ot-vredonosnyh-izmenenij-v-proczesse-razrabotki","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/google-predlozhil-slsa-dlya-zashhity-ot-vredonosnyh-izmenenij-v-proczesse-razrabotki","title":{"rendered":"O Google prop\u00f4s o SLSA para prote\u00e7\u00e3o contra altera\u00e7\u00f5es maliciosas no processo de desenvolvimento","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
A empresa Google apresentou o framework SLSA (Supply-chain Levels for Software Artifacts), que re\u00fane a experi\u00eancia existente na prote\u00e7\u00e3o da infraestrutura de desenvolvimento contra ataques que ocorrem nas etapas de escrita de c\u00f3digo, teste, compila\u00e7\u00e3o e distribui\u00e7\u00e3o do produto. <\/p>\n
Os processos de desenvolvimento est\u00e3o se tornando cada vez mais complexos e dependentes de ferramentas de terceiros, criando condi\u00e7\u00f5es favor\u00e1veis para a promo\u00e7\u00e3o de ataques que n\u00e3o est\u00e3o relacionados \u00e0 identifica\u00e7\u00e3o e explora\u00e7\u00e3o de vulnerabilidades no produto final, mas sim \u00e0 compromiss\u00e3o do pr\u00f3prio processo de desenvolvimento (ataques 'supply chain', normalmente direcionados \u00e0 inser\u00e7\u00e3o de altera\u00e7\u00f5es maliciosas no processo de codifica\u00e7\u00e3o, substitui\u00e7\u00e3o de componentes distribu\u00eddos e depend\u00eancias). <\/p>\n
O framework considera 8 tipos de ataques relacionados a amea\u00e7as de inser\u00e7\u00e3o de altera\u00e7\u00f5es maliciosas na fase de desenvolvimento de c\u00f3digo, compila\u00e7\u00e3o, teste e distribui\u00e7\u00e3o do produto.
<\/center> <\/p>\n
\n
A. Inclus\u00e3o no c\u00f3digo-fonte de altera\u00e7\u00f5es que cont\u00eam backdoors ou erros ocultos que levam a vulnerabilidades.\n
Exemplo de ataque: 'Hypocrite Commits' \u2014 uma tentativa de inserir patches com vulnerabilidades no n\u00facleo do Linux. <\/p>\n
M\u00e9todo de prote\u00e7\u00e3o proposto: revis\u00e3o independente de cada altera\u00e7\u00e3o por dois desenvolvedores. <\/p>\n
B. Comprometimento da plataforma de gerenciamento de c\u00f3digo-fonte.\n
Exemplo de ataque: inser\u00e7\u00e3o de commits maliciosos com backdoor no reposit\u00f3rio Git do projeto PHP ap\u00f3s vazamento de senhas dos desenvolvedores. <\/p>\n
M\u00e9todo de prote\u00e7\u00e3o proposto: aumentar a seguran\u00e7a da plataforma de gerenciamento de c\u00f3digo (no caso do PHP, o ataque foi realizado atrav\u00e9s de uma interface HTTPS pouco utilizada, que permitia enviar altera\u00e7\u00f5es ao fazer login com senha sem verifica\u00e7\u00e3o de chave SSH, sendo que um m\u00e9todo de hash de senhas pouco confi\u00e1vel, o MD5, foi utilizado). <\/p>\n
C. Fazer altera\u00e7\u00f5es na etapa de transfer\u00eancia de c\u00f3digo para o sistema de compila\u00e7\u00e3o ou integra\u00e7\u00e3o cont\u00ednua (c\u00f3digo que n\u00e3o corresponde ao reposit\u00f3rio est\u00e1 sendo compilado).\n
Exemplo de ataque: inje\u00e7\u00e3o de um backdoor no Webmin alterando a infraestrutura de compila\u00e7\u00e3o, levando ao uso de arquivos de c\u00f3digo diferentes dos arquivos no reposit\u00f3rio. <\/p>\n
M\u00e9todo de prote\u00e7\u00e3o proposto: verifica\u00e7\u00e3o de integridade e identifica\u00e7\u00e3o da fonte de recebimento do c\u00f3digo no sistema de compila\u00e7\u00e3o. servidor<\/a>. <\/p>\n
![\"O](\"\/wp-content\/uploads\/2021\/06\/d99f0d7ebc6009bcecf21f65f77dcf65.png\")
<\/center> <\/p>\n![\"O](\"\/wp-content\/uploads\/2021\/06\/3f0bdd24afeec562582d8410b490e705.png\")
<\/center>