更新框架如何提高软件分发安全性

2019-09-23 11:03:51    来源:    作者:

近年来,发生了多次网络攻击,这些攻击破坏了软件开发人员的网络,使得无法在软件更新内传递恶意软件。这种情况是Update Framework(TUF)开源项目的创始人Justin Cappos一直在努力解决。

卡普波斯(Cappos)是纽约大学(NYU)的助理教授,近十年前创立了TUF。TUF现在由多个软件项目实现,包括用于安全容器应用程序更新的Docker Notary项目,并且其实现也专门用于帮助保护汽车软件。

在接受eWEEK的视频采访中,Cappos解释了TUF在现代威胁领域中为何很重要以及它如何继续发展。

Cappos说:“ TUF有助于确保您的组织已决定应对其进行签名的软件可以安全地(最终用户)与各方(用户)联系在一起。”

TUF 定义了一种系统,在该系统中,以经过验证的方式对软件更新进行了加密签名和保护,以帮助最大程度地降低软件篡改的风险。近年来发生了多起事件,其中包括涉及cCleaner的事件,其中攻击者能够渗透和破坏开发系统,以将恶意更新发送给用户。

TUF云原生计算基金会项目

TUF 与Notary项目一起于2017年10月成为 Cloud Native Computing Foundation(CNCF)项目。CNCF是Linux Foundation合作项目,并且是多个技术项目(包括Kubernetes容器编排系统)的所在地。Cappos说,作为CNCF的一部分,在进行适当的治理和验证方面,已经帮助推进了TUF项目。CNCF还有助于促进TUF和项目正在进行的工作。

Cappos坚信拥有安全的软件更新机制应该是安全合规性的要求。他强调说,拥有安全更新不仅仅涉及对数字签名进行更新,还具有像TUF这样的机制来验证签名和所提供软件的完整性。

根据Cappos的说法,目前特别关注软件更新的是物联网(IoT)技术,尤其是医疗设备和电网,如果将恶意更新传递到这些系统,则可能会产生严重影响。

Cappos说:“如果这些问题不能在这些领域(IoT)中解决,人们将死亡。”

郑重声明:本文版权归原作者所有,转载文章仅为传播更多信息之目的,如作者信息标记有误,请第一时间联系我们修改或删除,多谢。