ソフトウェア更新システムのセキュリティを確保するためのフレームワーク

The Update Framework (TUF) は、安全なコンテンツ配信と更新のためのフレームワークです。さまざまな種類のサプライチェーン攻撃から保護し、侵害に対する耐性を提供します。このリポジトリは Python で書かれた リファレンス実装 です。TUF 仕様のバージョン 1.0 に準拠することを目的としています。

Python-TUF は以下の API を提供します:

tuf.api.metadata - TUF メタデータへの安全かつ簡単なアクセスと、ファイルへの(逆)シリアライズを提供する「低レベル」API。
tuf.ngclient - メタデータ API 上に構築されたクライアント実装。
tuf.repository - 同様にメタデータ API 上に構築されたリポジトリライブラリ。このモジュールは現在 python-tuf の安定 API の一部とは見なされていません。

リファレンス実装は、独自の言語、環境、または更新システムで TUF を実装しようとする人々にとって、読みやすいガイドおよびデモンストレーションとなることを目指しています。

The Update Framework について

The Update Framework (TUF) の設計は、リポジトリや署名鍵を侵害する攻撃者に対しても、ソフトウェア更新システムのセキュリティを維持するのに役立ちます。 TUF は、開発者が任意のソフトウェア更新システムで使用したり、ニーズに合わせて再実装したりできる機能を定義した柔軟な仕様を提供します。

TUF は、Cloud Native Computing Foundation (CNCF) の一部として Linux Foundation によってホストされており、その設計はさまざまなテクノロジー企業やオープンソース組織によって本番環境で使用されています。Uptane と呼ばれる TUF の派生版は、自動車の無線アップデートを保護するために使用されています。

TUF の詳細については、TUF のウェブサイトをご覧ください！

Documentation

TUF の設計概要
TUF 仕様
開発者向けドキュメント（ API リファレンスおよびコントリビュータ向けの手順を含む）
使用例
リファレンス実装のガバナンスおよびメンテナ
その他のドキュメント
Python-TUF 開発ブログ

Contact

質問、フィードバック、提案は、低トラフィックのメーリングリストまたは CNCF Slack の #tuf チャンネルへお寄せください。

私たちは仕様を実装しやすくするよう努めています。不整合を見つけたり、困難を感じたりした場合は、メールを送信するか、GitHub の仕様リポジトリで issue を報告してお知らせください。

Security Issues and Bugs

SECURITY.md をご覧ください。

License

この作品はデュアルライセンスであり、(1) MIT ライセンスおよび (2) Apache ライセンスバージョン 2.0 の下で配布されています。LICENSE-MIT と LICENSE をご覧ください。

謝辞

このプロジェクトは、Cloud Native Computing Foundation の下で Linux Foundation によってホストされています。TUF の初期開発は、ニューヨーク大学の Secure Systems Lab のメンバーによって管理されました。すべてのメンテナおよび名誉メンテナ、ならびに TUF のリファレンス実装に大きく貢献したコントリビューターの Konstantin Andrianov、Kairo de Araujo、Ivana Atanasova、Geremy Condra、Zane Fisher、Pankhuri Goyal、Justin Samuel、Tian Tian、Martin Vrachev、Yuyu Zheng の努力に感謝します。メンテナとコントリビューターは、CNCF コミュニティ行動規範に従います。

この資料は、National Science Foundation の助成金 CNS-1345049 および CNS-0959138 に基づく研究に基づいています。ここに表明された意見、発見、結論、または推奨事項は著者のものであり、必ずしも National Science Foundation の見解を反映するものではありません。

python-tuf v7.0.1

カテゴリ