软件供应链安全技术白皮书

admin 2022年7月20日09:28:29评论62 views字数 1390阅读4分38秒阅读模式

微信公众号:计算机与网络安全


软件供应链安全技术白皮书

(全文略)


Garnter 公司在 2021 年供应链安全风险报告中提到,机密或敏感信息的泄露是导致软件供应链风险的另外一个主要问题。黑客通过窃取源代码、构建日志、基础设施等中存在的硬编码凭证,如 API 密钥、加密密钥、令牌、密码等,或者通过泄露的 SBOM(软件物料清单)、源代码,寻找其中存在的漏洞,对目标系统发起攻击,极大增加了安全风险。因此,这些敏感信息在应用和管理过程中进行数据安全保护,针对不同场景可采用安全多方计算(MPC) 和零知识证明(ZKP)和可信执行环境(TEE)等安全技术。


软件供应链全生命周期内离不开上下游企业的数据协作,如 SBOM(软件物料清单)的生成及维护阶段需要软件开发企业提供数据支持(软件成分清单及源代码)、软件供应链安全检测阶段需要第三方安全企业 / 组织提供最新的漏洞数据支持等。由于此类数据属于各上下游企业核心资产,并事关最终用户软件安全,一旦泄露将极大增加最终用户遭受黑客攻击的风险,具有一定的敏感性。因此,上下游企业之间很难直接对接这些敏感数据。此时,需要相应的数据安全技术,以便管理和保障这些敏感数据的对接和使用。针对不同场景,可采用安全多方计算(MPC)、零知识证明(ZKP)或可信执行环境(TEE)等数据安全技术予以解决。


安全多方计算(Secure Multi-party Computation,MPC),是一种基于密码学技术实现的无需可信第三方的分布式计算协议与机制。具体地说,即在一个分布式的环境中,各参与方在互不信任的情况下通过密码学协议进行协同计算,输出计算结果,并保证任何一方均无法得到除应得的计算结果之外的其他任何信息(包括输入和计算过程的状态等信息)。MPC 解决了不信任环境下多个参与方联合计算一个函数的问题。


零知识证明(Zero-Knowledge Proof, ZKP),也是一种基于密码学的安全技术,可应用在身份认证、数据验证场景中。它指的是证明者(Prover, P)能够在不向验证者(Verifier, V)提供任何有效信息情形下,使得验证者相信他们拥有某一个信息 X,但在此过程中没有泄露任何关于 X 的其他信息。实质上,ZKP 是一种涉及两方或多方的安全协议,即两方或多方完成一项任务所需采取的一系列步骤。


可信执行环境(Trusted Execution Environment,TEE)是基于硬件隔离机制构建的一个安全隔离区域,可保证在安全区域内部加载的代码和数据在机密性和完整性方面得到保护。它将系统的硬件和软件资源划分为两个执行环境,分别是可信执行环境和普通执行环境(Rich Execution Environment, REE),两者是安全隔离的,分别有独立的计算和存储空间。REE 环境的应用程序无法访问 TEE,即使在 TEE 内部,各个应用程序的运行也是相互独立的,不能未经授权的情况下相互访问。当外部的应用程序想要访问 TEE 时,需要对该应用程序或用户身份进行验证,只有通过验证的应用程序才能进入,从而为 TEE 内部运行的代码和数据提供了机密性和完整性保护。


附:软件供应链安全技术白皮书.pdf
公众号VIP会员,私信群主索取本文件

办理公众号VIP会员,在公众号会话窗口回复VIP 可查看相关介绍。

软件供应链安全技术白皮书


- The end -

原文始发于微信公众号(计算机与网络安全):软件供应链安全技术白皮书

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年7月20日09:28:29
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   软件供应链安全技术白皮书http://cn-sec.com/archives/1186637.html

发表评论

匿名网友 填写信息