ĂshtĂ« publikuar versione 1.0 e kuadrit TUF (The Update Framework), i cili ofron mjete pĂ«r verifikimin e sigurt tĂ« disponueshmĂ«risĂ« dhe shkarkimit tĂ« pĂ«rditĂ«simeve. QĂ«llimi kryesor i projektit Ă«shtĂ« mbrojtja e klientĂ«ve nga sulmet standarde ndaj repositorĂ«ve dhe infrastrukturave, pĂ«rfshirĂ« parandalimin e pĂ«rhapjes sĂ« pĂ«rditĂ«simeve tĂ« rreme nga hakerĂ«t, pas marrjes sĂ« qasje nĂ« çelĂ«sat pĂ«r krijimin e nĂ«nshkrimeve dixhitale ose komprometimin e repositorĂ«ve. Projekti zhvillohet nĂ«n patronazhin e organizatĂ«s Linux Foundation dhe pĂ«rdoret pĂ«r tĂ« rritur sigurinĂ« e shpĂ«rndarjes sĂ« pĂ«rditĂ«simeve nĂ« projekte si Docker, Fuchsia, Automotive Grade Linux, Bottlerocket dhe PyPI (verehtesimi i shkarkimeve dhe metadatat nĂ« PyPI pritet sĂ« shpejti). Kodi referues i implementimit TUF Ă«shtĂ« shkruar nĂ« gjuhĂ«n Python dhe shpĂ«rndahet nĂ«n licencĂ«n Apache 2.0.
Projekti zhvillon një seri bibliotekash, formatesh skedarësh dhe utilitetesh, të cilat mund të integrohen lehtë në sistemet ekzistuese të përditësimit të aplikacioneve, duke siguruar mbrojtje në rast të komprometimit të çelësave nga zhvilluesit e softuerit. Për të përdorur TUF, mjafton të shtoni në repositorin e nevojshëm metadatat, dhe në kodin e klientit të integrohen procedurat e ofruara në TUF për shkarkimin dhe verifikimin e skedarëve.
Kuadri TUF merr përsipër detyrat e verifikimit të shfaqjes së përditësimeve, shkarkimit të përditësimeve dhe verifikimit të integritetit të tyre. Sistemi i instalimit të përditësimeve nuk ndërvepron drejtpërdrejt me metadat e tjera shtesë, verifikimin dhe shkarkimin e të cilave e bën TUF. Për integrimin me aplikacionet dhe sistemet e instalimit të përditësimeve ofrohet një API i nivelit të ulët për qasje në metadat dhe realizimi i një API klienti të nivelit të lartë ngclient, i gatshëm për integrim me aplikacionet.
Nga sulmet që mund të parandalohen nga TUF, përmenden zëvendësimi i versioneve të vjetra si përditësime me qëllim bllokimin e rregullimeve të dobësive në softuer ose kthimin e përdoruesve në një version të vjetër të pambrojtur, si dhe përhapja e përditësimeve të dëmshme, të nënshkruara në mënyrë të saktë duke përdorur një çelës të komprometuar, duke kryer sulme DoS ndaj klientëve, si p.sh. mbushja e diskut me përditësime të pafundme.
Mbrojtja nga komprometimi i infrastrukturĂ«s sĂ« ofruesit tĂ« software-it arrihet pĂ«rmes ruajtjes sĂ« regjistrave tĂ« veçantĂ« tĂ« verifikueshĂ«m pĂ«r gjendjen e depozitĂ«s ose aplikacionit. TĂ« dhĂ«nat metadatat TUF pĂ«rfshijnĂ« informacion mbi çelĂ«sat e besueshĂ«m, hash-e kriptografike pĂ«r vlerĂ«simin e integritetit tĂ« skedarĂ«ve, nĂ«nshkrime tĂ« tjera digjitale pĂ«r tĂ« garantuar metadatat, informacion mbi numrat e versioneve dhe tĂ« dhĂ«na mbi kohĂ«n e jetĂ«s sĂ« regjistrave. ĂelĂ«sat qĂ« pĂ«rdoren pĂ«r verifikim kanĂ« njĂ« kohĂ« tĂ« kufizuar tĂ« jetĂ«s dhe kĂ«rkojnĂ« rifreskim tĂ« vazhdueshĂ«m pĂ«r t'u mbrojtur nga krijimi i nĂ«nshkrimeve me çelĂ«sa tĂ« vjetĂ«r.
Reduktimi i rrezikut të komprometimit të sistemit tërësor arrihet përmes përdorimit të një modeli me ndarje besimi, në të cilin çdo palë është e kufizuar vetëm në atë zonë për të cilën është përgjegjëse drejtpërdrejt. Sistemi përdor një hierarkinë rolesh me çelësat e tij, për shembull, roli themelor nënshkruan çelësat për rolet përgjegjëse për metadatat në depo, të dhënat mbi kohën e krijimit të përditësimeve dhe ndërtimet e synuara, ndërsa roli që është përgjegjës për ndërtimet nënshkruan rolet e lidhura me garantimin e skedarëve të dërguara.
Për të mbrojtur nga komprometimi i çelësave përdoret mekanizmi i tërheqjes dhe zëvendësimit të menjëhershëm të çelësave. Në secilin çelës mbahen vetëm autorizimet minimale të nevojshme, dhe për operacionet e garantimit kërkohet përdorimi i disa çelësave (shkaktimi i një rrjedhje të vetëm çelësi nuk lejon menjëherë sulmin ndaj klientit, dhe për komprometimin e tërë sistemit është e nevojshme të kapen çelësat e të gjitha palëve). Klienti mund të pranojë vetëm skedarët e krijuar më vonë se skedarët e marrë më parë, dhe të dhënat ngarkohen vetëm në përputhje me madhësinë e specifikuar në metadatat e garantuara.
Botimi i TUF 1.0.0 ofron një implementim tërësisht të rishkruar dhe të stabilizuar të specifikimit TUF, i cili mund të përdoret si një shembull i gatshëm gjatë krijimit të implementimeve të veta ose për integrim në projektet e veta. Ky implementim i ri ka një kod më të vogël në mënyrë të dukshme (1400 rreshta në vend të 4700), është më i lehtë për t'u mbajtur dhe mund të zgjerohet lehtësisht, për shembull, në rast se është e nevojshme të shtohet mbështetje për grupe të veçanta rrjetesh, sisteme ruajtjeje ose algoritme enkriptimi.
Burimi: opennet.ru
