Pelepasan TUF 1.0 (The Update Framework) parantos diterbitkeun, nyayogikeun alat pikeun mariksa sareng ngaunduh apdet sacara aman. Tujuan utama proyék nyaéta pikeun ngajagi klien tina serangan tipikal dina repositori sareng prasarana, kalebet ngalawan promosi ku panyerang pembaruan fiktif anu diciptakeun saatos kéngingkeun aksés kana konci pikeun ngahasilkeun tanda tangan digital atanapi kompromi gudang. Proyék ieu dikembangkeun dina naungan Yayasan Linux sareng dianggo pikeun ningkatkeun kaamanan pangiriman apdet dina proyék-proyék sapertos Docker, Fuchsia, Automotive Grade Linux, Bottlerocket sareng PyPI (kalebet verifikasi undeuran sareng metadata di PyPI diperkirakeun dina deukeut mangsa nu bakal datang). Kodeu palaksanaan rujukan TUF ditulis dina Python jeung disebarkeun dina lisénsi Apache 2.0.
Proyék ieu ngembangkeun runtuyan perpustakaan, format file na Utiliti nu bisa gampang terpadu kana sistem update aplikasi aya, nyadiakeun panyalindungan dina acara kompromi konci di sisi pamekar software. Pikeun nganggo TUF, cukup pikeun nambihan metadata anu diperyogikeun kana gudang, sareng ngahijikeun prosedur anu disayogikeun dina TUF pikeun ngaunduh sareng pariksa file kana kode klien.
Kerangka TUF ngalaksanakeun tugas mariksa apdet, ngundeur apdet, sareng pariksa integritasna. Sistem pamasangan update henteu langsung ngaganggu metadata tambahan, verifikasi sareng muatkeun anu dilakukeun ku TUF. Pikeun integrasi sareng aplikasi sareng sistem pamasangan update, nawiskeun API tingkat rendah pikeun ngakses metadata sareng palaksanaan klien API klien tingkat tinggi, siap pikeun integrasi sareng aplikasi.
Di antara serangan anu tiasa dilawan TUF nyaéta substitusi sékrési lami dina kedok apdet pikeun meungpeuk koreksi kerentanan software atanapi balikan deui pangguna kana vérsi rentan anu lami, ogé promosi apdet jahat anu leres ditandatanganan nganggo kompromi. konci, serangan DoS on klien, kayaning ngeusian nepi disk jeung apdet sajajalan.
Perlindungan tina kompromi infrastruktur panyadia software kahontal ku ngajaga rékaman misah, verifiable tina kaayaan gudang atawa aplikasi. Metadata anu diverifikasi ku TUF kalebet inpormasi ngeunaan konci anu tiasa dipercaya, hash kriptografi pikeun ngévaluasi integritas file, tanda tangan digital tambahan pikeun verifikasi metadata, inpormasi ngeunaan nomer versi, sareng inpormasi ngeunaan umur rékaman. Konci anu dianggo pikeun verifikasi gaduh umur kawates sareng peryogi pembaruan konstan pikeun ngajagaan tina formasi tanda tangan ku konci anu lami.
Ngurangan résiko kompromi tina sakabéh sistem kahontal ngaliwatan pamakéan model trust dibagikeun, nu unggal pihak ngan dugi ka wewengkon nu tanggung jawab langsung. Sistim nu ngagunakeun hirarki kalungguhan jeung konci sorangan, contona, peran akar tanda konci pikeun kalungguhan jawab metadata dina Repository nu, data dina waktu generasi apdet sarta majelis target, kahareupna peran jawab majelis tanda. peran pakait sareng sertifikasi file dikirimkeun.
Pikeun ngajaga ngalawan kompromi konci, mékanisme pikeun panyabutan gancang sareng ngagantian konci dianggo. Unggal konci individu ngan ngandung kakuatan minimum diperlukeun, sarta operasi auténtikasi merlukeun pamakéan sababaraha kenop (bocor hiji konci tunggal teu ngidinan hiji serangan langsung ka klien, sarta pikeun kompromi sakabéh sistem, konci sadaya pamilon kudu direbut). Klién ngan ukur tiasa nampi file anu langkung énggal tibatan file anu ditampi sateuacana, sareng data diunduh ngan ukur dumasar kana ukuran anu ditunjuk dina metadata anu disertipikasi.
Kaluaran diterbitkeun tina TUF 1.0.0 nawarkeun palaksanaan rujukan lengkep ditulis ulang tur stabilized tina spésifikasi TUF nu bisa Anjeun pake salaku conto siap-dijieun nalika nyieun implementations sorangan atawa pikeun integrasi kana proyék Anjeun. Palaksanaan anyar ngandung kode nyata kirang (1400 garis tinimbang 4700), leuwih gampang pikeun mulasara tur bisa kalayan gampang diperpanjang, Contona, upami perlu pikeun nambahkeun rojongan pikeun tumpukan jaringan husus, sistem gudang atawa algoritma enkripsi.
sumber: opennet.ru