جوجل تقترح خطه جديده لايقاف هجمات سلسلة توريد البرامج

هجوم سلسلة التوريد (Supply chain attacks): وهي تقنية يقوم فيها الخصم بإيصال تعليمات برمجية ضارة، أو مكوّن ضار، إلى جزء موثوق فيه من البرامج أو الأجهزة، على سبيل المثال يتم ادخال شيفرة صغيرة تُحمَّل مع برنامج رئيسي من البرامج ذات الشعبية العالية، ويقوم ببعض المهام الخفية، وغالبًا تتركز على إضعاف قوى الدفاع لدى الضّحية أو اختراق جهازه وسرقة بياناته.

هجمات سلسلة توريد البرامج


وتكمن الخطوره الفعليه لهذا النوع من القرصنة القدره على اختراق الشركات والمؤسسات الكبرى, ويكفي أن يخترقوا المصدر الموزع للبرمجيات لهذه المؤسسات مما يؤدي إلى اختراق جميع عملاء الشركة الكبار.

كما حدث مع شركة البرمجيات الشهيرة "سولار ويندز" , و اكتشِف ايضا اختراق لأداة تطوير برمجيات تبيعها شركة تدعى "كود كوف" وغيرها من الهجمات التي تزايدة في الاونة الاخيرة.


تشير Google إلى هجوم سلسلة التوريد الأخير Codecov ، والذي أصاب شركة الأمن السيبراني Rapid7 انه كان عبر أداة تحميل Bash ملوثة.
ولمواجهة التهديد المتزايد لهجمات سلسلة توريد البرامج ، اقترحت Google مستويات سلسلة التوريد لإطار عمل Software Artifacts ، أو SLSA الذي يُطلق عليه "salsa".
تصف Google  SLSA  بأنه "إطار عمل شامل لضمان تكامل عناصر البرامج في جميع أنحاء سلسلة توريد البرامج".
وهو مستوحى من "التفويض الثنائي لبورج" (BAB) الداخلي من Google ، وهي عملية تستخدمها Google لأكثر من ثماني سنوات للتحقق من مصدر الشفرة وتنفيذ هوية الشفرة.
يتمثل هدف BAB في تقليل المخاطر الداخلية من خلال ضمان مراجعة برامج الإنتاج المنشورة في Google بشكل صحيح ، خاصةً إذا كان الرمز لديه حق الوصول إلى بيانات المستخدم ، كما تلاحظ Google في مستند تقني.

وهدف SLSA هو تحسين حالة الصناعة ، وخاصة المصادر المفتوحة ، للدفاع ضد التهديدات الأكثر خطورة, وتحاول SLSA قفل كل شيء في سلسلة إنشاء البرامج ، من المطور إلى التعليمات البرمجية للمصدر ، وبناء النظام الأساسي وأنظمة CI / CD ، ومستودع الحزم والتبعيات, وحيث ان التبعيات هي نقطة ضعف رئيسية في مشاريع البرمجيات مفتوحة المصدر، اقترحت Google بروتوكولات جديدة لتطوير البرامج الهامة مفتوحة المصدر والتي تتطلب مراجعة الكود من قبل طرفين مستقلين ويستخدم المشرفون فيها مصادقة ثنائية.

إطار عمل SLSA هو مجرد مجموعة من الإرشادات حتى الآن ، لكن Google تتوقع أن يتجاوز شكله النهائي أفضل الممارسات بالقوة.

إرسال تعليق

0 تعليقات