用于保护软件更新系统的框架

---

The Update Framework (TUF) 是一个用于安全内容交付和更新的框架。它能抵御多种类型的供应链攻击，并具备对妥协的恢复能力。本仓库是用 Python 编写的参考实现，旨在符合 TUF 规范 的 1.0 版本。

Python-TUF 提供了以下 API：

• tuf.api.metadata，一个“底层”API，旨在提供对 TUF 元数据的简便、安全访问，并处理从/到文件的（反）序列化。
• tuf.ngclient，一个基于元数据 API 构建的客户端实现。
• tuf.repository，一个同样基于元数据 API 构建的仓库库。该模块目前不被视为 python-tuf 稳定 API 的一部分。

参考实现力求成为那些在使用其他语言、环境或更新系统实现 TUF 的人们的可读指南和演示。

关于 The Update Framework

The Update Framework (TUF) 的设计帮助开发者在软件更新系统中维护安全性，即使面对攻击者破坏仓库或签名密钥的情况。 TUF 提供了一个灵活的规范，定义了开发者可以在任何软件更新系统中使用的功能，或者可以重新实现以满足其需求。

TUF 由 Linux 基金会 托管，作为 Cloud Native Computing Foundation（CNCF）的一部分，其设计已被多家科技公司和开源组织用于生产。TUF 的一个变体 Uptane 用于保护汽车中的无线更新。

更多信息请参阅 TUF 的网站！

文档

• TUF 设计简介
• TUF 规范
• 开发者文档，包括 API 参考 和 贡献者指南
• 使用示例
• 治理 和 维护者（针对参考实现）
• 杂项文档
• Python-TUF 开发博客

联系方式

如有疑问、反馈和建议，欢迎发送到我们低流量的邮件列表，或通过 CNCF Slack 的 #tuf 频道联系我们。

我们努力使规范易于实现，因此如果您遇到任何不一致或困难，请通过发送电子邮件或在 GitHub 规范仓库 中提交问题告知我们。

安全问题与漏洞

参见 SECURITY.md

许可证

本作品采用双重许可，基于 (1) MIT 许可证和 (2) Apache 许可证 2.0 版分发。请参阅 LICENSE-MIT 和 LICENSE。

致谢

本项目由 Linux 基金会在 Cloud Native Computing Foundation 下托管。TUF 的早期开发由纽约大学的安全系统实验室成员管理。我们感谢所有维护者和荣誉维护者的努力，以及贡献者 Konstantin Andrianov、Kairo de Araujo、Ivana Atanasova、Geremy Condra、Zane Fisher、Pankhuri Goyal、Justin Samuel、Tian Tian、Martin Vrachev 和 Yuyu Zheng，他们都是 TUF 参考实现的重要贡献者。维护者和贡献者受 CNCF 社区行为准则 的约束。

本材料基于美国国家科学基金会资助项目 CNS-1345049 和 CNS-0959138 的工作。本文中表达的任何意见、发现、结论或建议均为作者的观点，不一定反映美国国家科学基金会的看法。