Paketmanager prüften bereits Signaturen, doch die Forschung ergab, dass beliebte Update-Systeme weiterhin tiefe gemeinsame Fehlermodi aufwiesen: veraltete Metadaten, bösartige Mirrors, Rollback, endlose Daten und Kompromittierung einzelner Schlüssel konnten Clients in die Irre führen.
TUF entschied sich, Update-Vertrauen nicht als eine einzige Signatur zu behandeln. Seine Spezifikation verteilt die Verantwortung auf Rollen, verwendet Metadaten mit Versionen und Ablaufzeiten und minimiert den Schaden durch kompromittierte Online-Schlüssel mittels Delegation und Schwellenwerten.
Die Arbeit an TUF begann Ende 2009 und stützte sich auf Forschung zu Angriffen auf Paketmanager sowie auf Tors Thandy-Updater. CNCF nahm TUF am 24. Oktober 2017 auf und stufte es am 18. Dezember 2019 auf Graduated hoch.
Lass nicht einen Schlüssel alles bedeuten
Getrennte Rollen begrenzten, was ein Angreifer mit einem gestohlenen Schlüssel tun konnte.
Timestamp- und Snapshot-Metadaten machten veraltete oder inkonsistente Repository-Ansichten erkennbar.
Das Framework sicherte Updates, ohne ein universelles Paketformat zu definieren.
Delegationen ermöglichten großen Repositories, Signaturautorität zu verteilen, ohne die Vertrauenswurzel aufzugeben.
Ein sicherer Update-Standard kann den Workflow jedes Paketmanagers bewahren, wenn er die Vertrauensmetadaten darum herum standardisiert.
TUF wurde ein Graduated-CNCF-Projekt und ein Referenzmodell für Update-Sicherheit. Sein rollenbasiertes Metadatenmuster beeinflusste spätere Supply-Chain-Systeme, weil es das Update-Problem löste, ohne jeden Paketmanager zu ersetzen.
DEN BELEGEN FOLGEN
Die Quellen
- The Update Framework Specification The Update Framework · theupdateframework.io ·
- The Update Framework (TUF) Cloud Native Computing Foundation · cncf.io