Lühidalt: Klassikaline koodi allkirjastamine ei kaitse build-protsessi käigus toimuva manipuleerimise eest, kuid lühiajaliste võtmetega efemeersed keskkonnad ja Sigstore pakuvad tõhusamat turvalisust.
Ründajad ei manipuleeri tarkvara enam lähtekoodi tasandil, vaid kompileerimise ajal. Klassikaline koodi allkirjastamine on siin jõuetu, kuna kompromiteeritud build-servereid kontrollivad ründajad saavad kuritarvitada ka tootja tegelikke võtmeid.
Tarkvara tarneahelate vastu suunatud ründevektorid on põhjalikult muutunud. Kui varem keskenduti otsestele nõrkustele lähtekoodis või tootmissüsteemides, siis tänapäeval on riiklike ja kuritegelike osapoolte tähelepanu koondunud automatiseeritud build-infrastruktuurile. Kriitiline hetk on kompileerimine ehk lähtekoodi teisendamine käivitatavateks binaarfailideks.
Kõrgetasemelised ründajad hoiduvad traditsioonilistest kaitsemeetmetest, nagu koodiülevaatused, staatiline analüüs ja Git-hoidla harude kaitse, kuna need hõlmavad üksnes staatilist lähtekoodi. Selle asemel süstitakse pahavara otse build-käitaja mällu jooksva build-protsessi ajal või manipuleeritakse ajutisi sõltuvusi. SolarWindsi rünnak pahavaraga Sunburst tõestas seda meetodit: pahavara pookiti tootmisversiooni uuendusse otse kompileerimise käigus, jätmata jälgi lähtekoodi hoidlasse.
Klassikaline koodi allkirjastamine avaliku võtme infrastruktuuriga (PKI) näitab pilvepõhistes keskkondades struktuurseid puudujääke. Mudel eeldab pikaajaliste privaatvõtmete hoidmist torustiku saladustes või riistvaralistes turvamoodulites. Kui ründaja saavutab administraatoriõigused build-serveri üle, saab ta oma manipuleeritud tarkvara täiesti legitiimselt allkirjastada tootja tegeliku võtmega. Staatiliste sertifikaatide korrapärane rotatsioon on veaohtlik ning võtme lekkimisel viibib kehtetuks tunnistamine sertifikaatide tühistamisnimekirjade (CRL) kaudu märkimisväärselt, mistõttu kompromiteeritud tarkvara loetakse selle aja jooksul jätkuvalt usaldusväärseks.
Vastumeetmena on kujunemas efemeersete build-keskkondade paradigma. Selle kohaselt ei toimi build-käitaja enam pidevalt töötava serverina, vaid iga build-etapi jaoks isoleeritakse ja algväärtustatakse see täielikult uuesti — tüüpiliselt lühiealiste konteinerite kaudu Kubernetese klastrites või eraldi mikro-virtuaalmasinatega. Lühiajalised võtmed, mis eksisteerivad vaid ühe build’i jaoks, ning Sigstore’i kaudu antavad krüptograafilised tõendid vähendavad rünnatavat pinda märkimisväärselt.
Allikas: www.it-daily.net · Avaldatud 19. juuli 2026
Lumi AI News — tehisintellekti abil kureeritud vastavalt tehisintellektimääruse artiklile 50. Parafraseerimine ja klassifitseerimine Lumi News Pipeline v1.7.3 abil.