İmza Zinciri
İmzalı yazılım tedarik zinciri
Tarama motoru kurumun ağına doğrudan dokunur; içinde ne koştuğu her an doğrulanabilir olmalıdır. Cyprob bu güvenceyi imza zinciriyle verir.
Zincir nasıl işler?
Her kontrol ve her güncelleme paketi ed25519 anahtarıyla imzalanır. Kurulum, imzayı doğrulamadan içeriği çalıştırmaz. Bir imza iptal listesine alınırsa o içerik, daha önce kurulmuş olsa bile devre dışı kalır. Sürüm monotonluğu denetimi, eski ve zafiyetli bir sürümün yenisinin yerine geçirilmesini engeller.
Kapalı ağda imzanın değeri
Air-gapped kurulumda güncellemeler elle taşınır ve taşıma zinciri, dosyanın yolda değişmediğini garanti edemez. İmza doğrulaması bu boşluğu kapatır: dosya nereden ve nasıl gelirse gelsin, doğrulamayı geçmeyen paket kurulmaz.
Merak edilenler
İmzası iptal edilen içerik ne olur?
Devre dışı kalır. Bir imza iptal listesine alınırsa o içerik, daha önce kurulmuş olsa bile çalıştırılmaz.
Eski bir sürüm yenisinin yerine geçirilebilir mi?
Geçirilemez. Sürüm monotonluğu denetimi, eski ve zafiyetli bir sürümün yenisinin yerine yüklenmesini engeller.
Elle taşınan dosyanın yolda değişmediği nasıl bilinir?
İmzayla. Her kontrol ve güncelleme paketi ed25519 anahtarıyla imzalanır; dosya nereden ve nasıl gelirse gelsin, doğrulamayı geçmeyen paket kurulmaz.