{"id":103534,"date":"2022-03-14T15:36:53","date_gmt":"2022-03-14T13:36:55","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/dostupen-tuf-1-0-frejmvork-dlya-organizaczii-bezopasnoj-dostavki-obnovlenij"},"modified":"2022-03-14T15:36:53","modified_gmt":"2022-03-14T13:36:55","slug":"dostupen-tuf-1-0-frejmvork-dlya-organizaczii-bezopasnoj-dostavki-obnovlenij","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/news\/dostupen-tuf-1-0-frejmvork-dlya-organizaczii-bezopasnoj-dostavki-obnovlenij","title":{"rendered":"TUF 1.0 \u00e4r tillg\u00e4ngligt, ett ramverk f\u00f6r s\u00e4ker leverans av uppdateringar","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Version 1.0 av ramverket TUF (The Update Framework) har publicerats, vilket erbjuder verktyg f\u00f6r s\u00e4ker kontroll och nedladdning av uppdateringar. Huvudsyftet med projektet \u00e4r att skydda klienten mot vanliga attacker mot repository och infrastruktur, inklusive att motverka spridning av falska uppdateringar skapade efter att obeh\u00f6riga f\u00e5tt tillg\u00e5ng till nycklar f\u00f6r att skapa digitala signaturer eller kompromettera repository. Projektet utvecklas under Linux Foundation och anv\u00e4nds f\u00f6r att \u00f6ka s\u00e4kerheten i uppdateringsleveranser i projekt som Docker, Fuchsia, Automotive Grade Linux, Bottlerocket och PyPI (verifiering av nedladdningar och metadata i PyPI f\u00f6rv\u00e4ntas snart bli tillg\u00e4ngligt). Koden f\u00f6r referensimplementationen av TUF \u00e4r skriven i Python och distribueras under Apache 2.0-licensen. <\/p>\n
Projektet utvecklar en serie bibliotek, filformat och verktyg som enkelt kan integreras i befintliga appuppdateringssystem, vilket s\u00e4kerst\u00e4ller skydd vid kompromettering av nycklar p\u00e5 mjukvaruutvecklarens sida. F\u00f6r att anv\u00e4nda TUF beh\u00f6ver man bara l\u00e4gga till n\u00f6dv\u00e4ndiga metadata i repository och integrera de procedurer som tillhandah\u00e5lls av TUF f\u00f6r nedladdning och verifiering av filer i klientkoden. <\/p>\n
TUF-ramverket ansvarar f\u00f6r att kontrollera tillkomsten av uppdateringar, ladda ner uppdateringar och verifiera deras integritet. Systemet f\u00f6r att installera uppdateringar \u00f6verlappar inte direkt med ytterligare metadata, vars kontroll och nedladdning hanteras av TUF. F\u00f6r integration med applikationer och installationssystem erbjuds ett l\u00e5gniv\u00e5-API f\u00f6r \u00e5tkomst till metadata och en implementering av ett h\u00f6g-niv\u00e5-klient-API, ngclient, som \u00e4r redo f\u00f6r integration med applikationer. <\/p>\n
Bland de attacker som TUF kan motverka m\u00e4rks ers\u00e4ttning av gamla versioner med uppdateringar f\u00f6r att blockera \u00e5tg\u00e4rder som \u00e5tg\u00e4rdar programvarus\u00e5rbarheter eller f\u00f6r att \u00e5terf\u00f6ra anv\u00e4ndare till en gammal, s\u00e5rbar version, samt spridning av skadliga uppdateringar som \u00e4r korrekt signerade med hj\u00e4lp av en komprometterad nyckel, samt utf\u00f6randet av DoS-attacker p\u00e5 klienter, s\u00e5som att fylla disken med o\u00e4ndliga uppdateringar. <\/p>\n
Skydd mot kompromettering av mjukvaruleverant\u00f6rens infrastruktur uppn\u00e5s genom att uppr\u00e4tth\u00e5lla separata verifierbara poster om tillst\u00e5ndet i f\u00f6rr\u00e5det eller applikationen. Verifierbara TUF-metadata inkluderar information om p\u00e5litliga nycklar, kryptografiska hash-v\u00e4rden f\u00f6r att bed\u00f6ma integriteten hos filer, ytterligare digitala signaturer f\u00f6r att bekr\u00e4fta metadata, information om versionsnummer och uppgifter om livsl\u00e4ngden f\u00f6r poster. Nycklarna som anv\u00e4nds f\u00f6r verifiering har en begr\u00e4nsad livsl\u00e4ngd och kr\u00e4ver konstant uppdatering f\u00f6r att skydda mot signering med gamla nycklar. <\/p>\n
Risken f\u00f6r kompromettering av hela systemet minskas genom att anv\u00e4nda en modell med delat f\u00f6rtroende, d\u00e4r varje part \u00e4r begr\u00e4nsad till det omr\u00e5de f\u00f6r vilket den direkt ansvarar. Systemet anv\u00e4nder en hierarki av roller med sina egna nycklar, till exempel signerar roten nycklar f\u00f6r de roller som ansvarar f\u00f6r metadata i f\u00f6rr\u00e5det, uppgifter om tidpunkten f\u00f6r uppdateringar och m\u00e5lkompileringar, medan rollen som ansvarar f\u00f6r kompileringar signerar roller som \u00e4r kopplade till bekr\u00e4ftelsen av levererade filer.
<\/center> <\/p>\n
F\u00f6r att skydda mot kompromettering av nycklar anv\u00e4nds en mekanism f\u00f6r snabb \u00e5terkallelse och byte av nycklar. Varje enskild nyckel koncentrerar endast minimalt n\u00f6dv\u00e4ndiga befogenheter, och f\u00f6r bekr\u00e4ftelseoperationer kr\u00e4vs anv\u00e4ndning av flera nycklar (l\u00e4ckage av en enskild nyckel till\u00e5ter inte omedelbar attack p\u00e5 klienten, och f\u00f6r att kompromettera hela systemet m\u00e5ste nycklarna fr\u00e5n alla parter f\u00e5ngas). Klienten kan bara acceptera filer som skapats senare \u00e4n redan tidigare mottagna filer, och data laddas endast i enlighet med storleken som anges i de verifierade metadata. <\/p>\n
Den publicerade versionen TUF 1.0.0 erbjuder en helt omarbetad och stabiliserad referensimplementation av TUF-specifikationen, som kan anv\u00e4ndas som ett f\u00e4rdigt exempel vid skapandet av egna implementationer eller f\u00f6r integration i egna projekt. Den nya implementationen inneh\u00e5ller avsev\u00e4rt mindre kod (1400 rader ist\u00e4llet f\u00f6r 4700), \u00e4r enklare att underh\u00e5lla och kan enkelt utvidgas, till exempel vid behov av att l\u00e4gga till st\u00f6d f\u00f6r specifika n\u00e4tverksstackar, lagringssystem eller krypteringsalgoritmer. \n K\u00e4lla: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"TUF](\"\/wp-content\/uploads\/2022\/03\/e88156df6bdc88b840e7f230c7588cbb.jpg\")
<\/center> <\/p>\n