Os gerenciadores de pacotes já verificavam assinaturas, mas a pesquisa constatou que sistemas de atualização populares ainda compartilhavam modos de falha profundos: metadados obsoletos, espelhos maliciosos, reversão, dados sem fim e comprometimento de chave única podiam enganar os clientes.
A escolha de design do TUF foi deixar de tratar a confiança nas atualizações como uma única assinatura. Sua especificação divide a responsabilidade entre papéis, usa metadados com versões e expiração e minimiza os danos de chaves online comprometidas por meio de delegação e limites.
O trabalho no TUF começou no final de 2009, baseando-se em pesquisas sobre ataques a gerenciadores de pacotes e no atualizador Thandy do Tor. A CNCF aceitou o TUF em 24 de outubro de 2017 e o promoveu a Graduated em 18 de dezembro de 2019.
Não deixe uma única chave significar tudo
Papéis separados limitaram o que um atacante poderia fazer com uma única chave roubada.
Os metadados de timestamp e snapshot tornaram detectáveis visões obsoletas ou inconsistentes do repositório.
O framework protegeu as atualizações sem definir um formato universal de pacote.
As delegações permitiram que grandes repositórios distribuíssem a autoridade de assinatura sem abrir mão da raiz de confiança.
Um padrão de atualização segura pode preservar o fluxo de trabalho de cada gerenciador de pacotes se padronizar os metadados de confiança em torno dele.
O TUF tornou-se um projeto graduado da CNCF e um modelo de referência para a segurança de atualizações. Seu padrão de metadados baseado em papéis influenciou sistemas posteriores de cadeia de suprimentos porque resolveu o problema de atualização sem substituir cada gerenciador de pacotes.
CONFIRA AS EVIDÊNCIAS
As fontes
- The Update Framework Specification The Update Framework · theupdateframework.io ·
- The Update Framework (TUF) Cloud Native Computing Foundation · cncf.io