TUF'ta Rollback ve Freeze Saldırılarını Durdurmak İçin Güvenilir İstemci Durumu Gerekir

The Update Framework (TUF), yazılım güncellemelerini dört farklı rol aracılığıyla yönetir: root, targets, snapshot ve timestamp. Her rolün imza eşiği ve sona erme tarihi vardır. Sistem depo güvenliğini sağlamak için tasarlanmış olsa da, saldırıları tespit etmek tamamen istemcinin önceki durumunu hatırlamasına bağlıdır.

TUF'ın temel savunma mekanizması timestamp ve snapshot metaverilerinin sıralı işlenmesine dayanır. İstemci, indirdiği timestamp metaverinin sürüm numarasını ve sona erme tarihini, daha önceden güvendiği timestamp ile karşılaştırır. Eğer yeni sürüm daha düşükse, bu rollback saldırısının işareti olabilir. Süresi geçmiş metadata ise freeze saldırısını gösterir, yani saldırgan eski, geçerli bir güncellemeleri tekrar sunarak sistemi eski durumda tutmaya çalışıyor.

Snapshot metaveri, timestamp ile targets metaverilerinin seçili sürümlerini bağlar. Targets ise dosyaları ve hash değerlerini listeler. Bu kontroller tek bir imza kontrolüyle değil, sıralı işleme ve kalıcı durum kaydıyla gerçekleşir. Birçok uygulamada yapılan hata, indirilen güncellemeleri doğrulamadan önce önceki durumu kontrol etmemektir.

Pratik olarak, bir TUF istemcisi her zaman disk veya güvenli depolama alanında son güvenilir timestamp ve snapshot sürümlerini tutmalıdır. Yeni bir güncelleme geldiğinde, bu kayıtlı durumla karşılaştırılması gerekir. Aksi takdirde, saldırgan eski bir güncellemeleri yeniden sunarak cihazı eski yazılım sürümüne geri çekmek veya güncellemeleri tamamen durdurtmak için freeze saldırısı düzenleyebilir. Durum yönetimi olmadan imza kontrolü yeterli değildir.