Kutolewa kwa TUF 1.0 (Mfumo wa Usasishaji) kumechapishwa, kutoa zana za kukagua na kupakua masasisho kwa usalama. Lengo kuu la mradi ni kulinda mteja dhidi ya mashambulizi ya kawaida kwenye hazina na miundombinu, ikiwa ni pamoja na kukabiliana na utangazaji na wavamizi wa masasisho ya uwongo yaliyoundwa baada ya kupata funguo za kutengeneza sahihi za dijiti au kuhatarisha hazina. Mradi huu umeandaliwa chini ya ufadhili wa Linux Foundation na unatumika kuboresha usalama wa utoaji sasisho katika miradi kama vile Docker, Fuchsia, Automotive Grade Linux, Bottlerocket na PyPI (ujumuishaji wa uthibitishaji wa upakuaji na metadata katika PyPI unatarajiwa katika karibu siku zijazo). Nambari ya utekelezaji wa marejeleo ya TUF imeandikwa katika Python na kusambazwa chini ya leseni ya Apache 2.0.
Mradi huu unatengeneza mfululizo wa maktaba, fomati za faili na huduma ambazo zinaweza kuunganishwa kwa urahisi katika mifumo iliyopo ya sasisho za programu, kutoa ulinzi katika tukio la maelewano muhimu kwa upande wa wasanidi programu. Ili kutumia TUF, inatosha kuongeza metadata muhimu kwenye hifadhi, na kuunganisha taratibu zinazotolewa katika TUF za kupakua na kuthibitisha faili kwenye msimbo wa mteja.
Mfumo wa TUF unachukua majukumu ya kuangalia sasisho, kupakua sasisho, na kuthibitisha uadilifu wake. Mfumo wa usakinishaji wa sasisho hauingilii moja kwa moja metadata ya ziada, uthibitishaji na upakiaji ambao unafanywa na TUF. Kwa kuunganishwa na programu na kusasisha mifumo ya usakinishaji, API ya kiwango cha chini cha kupata metadata na utekelezaji wa mteja wa kiwango cha juu wa API, tayari kuunganishwa na programu, hutolewa.
Miongoni mwa mashambulizi ambayo TUF inaweza kukabiliana nayo ni kubadilisha matoleo ya zamani kwa kisingizio cha masasisho ili kuzuia masahihisho ya udhaifu wa programu au kurejesha mtumiaji kwa toleo la zamani lililo hatarini, pamoja na utangazaji wa masasisho hasidi yaliyotiwa saini ipasavyo kwa kutumia njia iliyoathiriwa. key, mashambulizi ya DoS kwa wateja, kama vile kujaza diski na masasisho yasiyoisha.
Ulinzi dhidi ya maelewano ya miundombinu ya mtoa programu hupatikana kwa kudumisha rekodi tofauti, zinazoweza kuthibitishwa za hali ya hazina au programu. Metadata iliyothibitishwa na TUF inajumuisha maelezo kuhusu funguo zinazoweza kuaminiwa, heshi za kriptografia ili kutathmini uadilifu wa faili, sahihi zaidi za kidijitali ili kuthibitisha metadata, maelezo kuhusu nambari za toleo na taarifa kuhusu muda wa matumizi ya rekodi. Vifunguo vinavyotumika kwa uthibitishaji vina muda mfupi wa maisha na vinahitaji kusasishwa mara kwa mara ili kulinda dhidi ya uundaji sahihi wa vitufe vya zamani.
Kupunguza hatari ya maelewano ya mfumo mzima kunapatikana kwa kutumia mfano wa uaminifu wa pamoja, ambao kila chama ni mdogo tu kwa eneo ambalo linawajibika moja kwa moja. Mfumo hutumia safu ya majukumu na funguo zao wenyewe, kwa mfano, jukumu la msingi huashiria funguo za majukumu yanayohusika na metadata kwenye hazina, data juu ya wakati wa kuunda sasisho na makusanyiko lengwa, kwa upande wake, jukumu linalohusika na ishara za makusanyiko. majukumu yanayohusiana na uthibitishaji wa faili zilizowasilishwa.
Ili kulinda dhidi ya maelewano muhimu, utaratibu wa kubatilisha mara moja na uingizwaji wa funguo hutumiwa. Kila ufunguo wa mtu binafsi una nguvu ndogo tu zinazohitajika, na shughuli za uthibitishaji zinahitaji matumizi ya funguo kadhaa (kuvuja kwa ufunguo mmoja hairuhusu shambulio la mara moja kwa mteja, na kuathiri mfumo mzima, funguo za washiriki wote lazima ziwe. alitekwa). Mteja anaweza tu kukubali faili ambazo ni za hivi majuzi zaidi kuliko faili zilizopokelewa hapo awali, na data inapakuliwa tu kulingana na saizi iliyobainishwa kwenye metadata iliyoidhinishwa.
Toleo lililochapishwa la TUF 1.0.0 linatoa utekelezaji wa marejeleo ulioandikwa upya na ulioimarishwa kabisa wa vipimo vya TUF ambavyo unaweza kutumia kama mfano uliotayarishwa tayari unapounda utekelezaji wako mwenyewe au kwa ujumuishaji katika miradi yako. Utekelezaji mpya una msimbo mdogo sana (mistari 1400 badala ya 4700), ni rahisi kudumisha na inaweza kupanuliwa kwa urahisi, kwa mfano, ikiwa ni muhimu kuongeza usaidizi wa safu maalum za mtandao, mifumo ya hifadhi au algoriti za usimbaji fiche.
Chanzo: opennet.ru