166 pojmova · 75/46/45
Tehnika № 006 · klasa: početni pristup

Kompromitovanje lanca snabdevanjaSupply Chain Compromise

Kompromitovanje lanca snabdevanja je ubacivanje izmene u razvoj, izgradnju, potpisivanje ili distribuciju proizvoda. Napadač najpre preuzima nalog održavaoca, pristupni token CI/CD platforme, server za izgradnju ili ključ za potpisivanje.

Pojam

opis · primeri · napomene

Kompromitovanje lanca snabdevanja je ubacivanje izmene u razvoj, izgradnju, potpisivanje ili distribuciju proizvoda. Napadač najpre preuzima nalog održavaoca, pristupni token CI/CD platforme, server za izgradnju ili ključ za potpisivanje.

Opis

Zlonamerni deo smešta u izvorni kod, skriptu za izgradnju ili gotov paket. Bira izdanje koje će se široko distribuirati, a kompromitovan proces može mu dati i važeći digitalni potpis.

Da bi kampanja ostala skrivena, ubačeni kod može da proverava uređaj, mrežu ili organizaciju, odloži izvršavanje i aktivira se samo kod izabranih meta. Većina korisnika i provera tada vidi normalan proizvod.

Primeri

  • Ukraden nalog održavaoca objavljuje izmenjenu verziju paketa.
  • Kompromitovan server za izgradnju dodaje kod koji ne postoji u repozitorijumu.
  • Server za ažuriranje zamenjuje legitimni instalacioni fajl izmenjenom kopijom.
  • Ukradeni ključ potpisuje izmenjeno izdanje kao da dolazi od pravog proizvođača.

Napomene

  • Digitalni potpis potvrđuje poreklo, ali ne i nameru potpisanog koda.
  • Pregled izvornog koda ne otkriva izmenu ubačenu tek tokom izgradnje.

Spomenuto u vestima

tagovi
lanac snabdevanja zloupotreba poverenja sistem izgradnje
◳Kompozit

Pretnje

koriste 4

Pretnje koje je koriste. Klik vodi na stranicu pojma.

Odbrane

suzbija 5

Kako se suzbija. Klik vodi na stranicu pojma.