حمله زنجیره‌ تامین محتمل است؛
ادمین های لینوکس مواظب باشند

✍️روزبه نوروزی

بررسی امضای دیجیتال بسته‌های نرم‌افزاری توسط ادمین‌های سیستم می‌تواند از حملات زنجیره تأمین جلوگیری کند تا بدافزارها در سیستم های ما تزریق نشوند.

در ادامه روش‌های بررسی امضای بسته‌ها در APT (Debian/Ubuntu)، YUM و DNF (RHEL/CentOS)، و Snap آورده شده است.
1. بررسی امضای دیجیتال در APT (Debian/Ubuntu)

در APT از GPG keys برای امضای بسته‌ها استفاده می‌شود
الف) بررسی کلیدهای مخزن

ادمین‌ها باید ابتدا کلیدهای مورداعتماد را تأیید کنند:

apt-key list

یا برای سیستم‌های جدیدتر:

gpg --list-keys --keyring /etc/apt/trusted.gpg

اگر کلید جدیدی به مخزن اضافه شده است، باید اطمینان حاصل کنید که از منبع معتبری آمده است.
ب) بررسی امضای بسته‌ها

برای بررسی امضای یک بسته قبل از نصب:

apt-cache policy <package-name>

مثال:

apt-cache policy openssh-server

اگر در خروجی "500" یا "100" مشاهده شد، یعنی از یک مخزن رسمی دریافت می‌شود.
ج) بررسی صحت بسته‌های دانلود شده

پس از دانلود:

dpkg-sig --verify package.deb

همچنین، می‌توان از debsig-verify استفاده کرد:

debsig-verify package.deb

2. بررسی امضای دیجیتال در YUM و DNF (RHEL/CentOS)

YUM و DNF از GPG keys برای اعتبارسنجی استفاده می‌کنند.
الف) بررسی کلیدهای GPG

لیست کلیدهای نصب‌شده را بررسی کنید:

rpm -q gpg-pubkey --qf "%{NAME}-%{VERSION}-%{RELEASE}\n"

ب) بررسی امضای بسته‌ها قبل از نصب

yum list <package-name>
dnf repoquery --info <package-name>

اگر Signature : RSA/SHA256, Key ID نمایش داده شود، یعنی بسته معتبر است.
ج) بررسی امضای یک بسته RPM

پس از دانلود بسته:

rpm --checksig -v package.rpm

مثال:

rpm --checksig -v httpd-2.4.6-97.el7.centos.x86_64.rpm

اگر نتیجه gpg OK باشد، یعنی امضا معتبر است.
3. بررسی امضای دیجیتال در Snap

Snap از امضای دیجیتال Canonical برای تضمین امنیت بسته‌ها استفاده می‌کند.
الف) بررسی امضای بسته Snap

قبل از نصب:

snap info <package-name>

مثال:

snap info vlc

اطمینان حاصل کنید که نام Publisher همان ناشر رسمی بسته است.
ب) بررسی تأییدیه GPG برای Snap

برای بررسی صحت امضای مخزن:

snap known account-key

این دستور کلیدهای عمومی امضاکننده را نشان می‌دهد.


**هشدار : همانطور که مسبوق به سابقه است امضا ها هم جعل شده اند. پس مسوولان امنیت کشور و تیم امنیت سازمان باید فکری کند.
راهکار اول اطلاعات هوش تهدید

#من_آموزش_میدهم
#آکادمی_روزبه