Buzz
Khi tấn công chuỗi cung ứng phần mềm trở thành mối đe dọa hàng ngày, nơi kẻ xấu làm ô nhiễm một bước trong quá trình phát triển hoặc phân phối, ngành công nghiệp công nghệ đã nhận một cú đánh thức về sự cần thiết của việc bảo vệ từng liên kết trong chuỗi. Tuy nhiên, việc thực sự triển khai cải tiến là thách thức, đặc biệt là đối với hệ sinh thái phát triển đám mây nguồn mở rộng. Bây giờ, công ty an ninh Chainguard cho biết họ có một giải pháp an toàn hơn cho một thành phần phổ biến nhưng lâu ngày bị bỏ qua.
"Kho đăng ký container" hơi giống như các cửa hàng ứng dụng hoặc những nơi tập trung nơi nhà phát triển tải lên "hình ảnh" của các container đám mây mà mỗi cái chứa một chương trình phần mềm khác nhau. Dịch vụ đám mây bạn sử dụng mỗi ngày liên tục và im lặng điều hướng trong kho đăng ký container để truy cập ứng dụng, nhưng những kho đăng ký này thường được bảo vệ kém chỉ với một mật khẩu có thể bị mất, bị đánh cắp hoặc đoán đúng. Điều này thường có nghĩa là những người không nên có quyền truy cập vào một hình ảnh container nhất định có thể tải xuống, hoặc, tệ hơn, họ có thể tải lên những hình ảnh vào kho đăng ký có thể là độc hại. Kho hình ảnh container mới của Chainguard nhắm vào việc tắt nắp kỳ lạ nhưng phổ biến này.
“Gần như mọi điều tồi tệ có thể xảy ra với kho đăng ký container mà bạn có thể tưởng tượng,” nói Dan Lorenc, CEO của Chainguard và một nhà nghiên cứu an ninh chuỗi cung ứng phần mềm lâu năm. “Mọi người mất mật khẩu, mọi người đẩy malware mục đích, mọi người quên cập nhật thứ gì đó. Ngành công nghiệp đã chỉ đang sử dụng nó trong thời gian dài - mọi người đều đang vui vẻ, gửi mã nguồn - và không ai nghĩ về hậu quả dài hạn.”
Các nhà nghiên cứu của Chainguard cho biết họ đã lâu đã xem xét việc phát triển một kho đăng ký được thiết kế có suy nghĩ hơn, đặc biệt là một kho loại bỏ mật khẩu và thay vào đó sử dụng phương pháp đăng nhập duy nhất để kiểm soát quyền truy cập vào kho đăng ký. Như vậy, một kho đăng ký có thể được thiết kế để trở nên dễ truy cập hoặc khóa chặt tùy thuộc vào nhu cầu, và chỉ những người đã đăng nhập vào các tài khoản khác, như dịch vụ danh tính doanh nghiệp hoặc tài khoản Google, và sau đó được ủy quyền cụ thể mới có thể tương tác với kho đăng ký.
“Kho đăng ký container đã là một mắt xích yếu,” nói Jason Hall, một kỹ sư phần mềm của Chainguard. “Chúng khá nhàm chán, khá tiêu chuẩn. Đây là phần mềm đang phụ thuộc vào phần mềm để cung cấp phần mềm. Chúng ta cần phải làm tốt hơn và loại bỏ mật khẩu để nói chuyện với kho đăng ký và có thể đẩy vào kho đăng ký.”
Hạn chế lớn khi triển khai một hệ thống như vậy, tuy nhiên, đã là chi phí. Việc vận hành một kho đăng ký container thường trở nên rất đắt đỏ do “phí xuất.” Nói cách khác, các nhà cung cấp đám mây không tính phí đối với khách hàng doanh nghiệp để tải dữ liệu lên đám mây, nhưng họ tính phí mỗi lần ai đó tải xuống dữ liệu. Vì vậy, nếu kho đăng ký container giống như một cửa hàng ứng dụng nơi mọi người đến tải xuống hình ảnh container, phí xuất có thể trở nên rất lớn, rất nhanh. Điều này làm giảm khả năng thúc đẩy công việc nâng cấp bảo mật của kho đăng ký container, vì không ai muốn đối mặt với chi phí liên quan đến việc cung cấp một phương án an toàn hơn.
Bước đột phá cho Chainguard đến khi công ty cơ sở hạ tầng internet Cloudflare công bố sẵn có dịch vụ Lưu trữ R2 của mình vào tháng 9. Mục tiêu của sản phẩm là cung cấp phí xuất giảm cho khách hàng Cloudflare và thậm chí không tính phí cho dữ liệu được tải xuống ít thường xuyên. Khi R2 trở thành một lựa chọn, các nhà nghiên cứu của Chainguard có mọi thứ cần để tiến lên với một kho đăng ký an toàn hơn.
Aly Cabral, Phó Chủ tịch Quản lý Sản phẩm cho workers của Cloudflare, nói rằng với vai trò là một mạng phân phối nội dung, công ty có thể cung cấp dịch vụ như R2 vì đã đầu tư rất nhiều để tối ưu hóa hệ thống để quản lý và di chuyển dữ liệu một cách hiệu quả trên khắp thế giới. Và cô chỉ ra rằng phí xuất là vấn đề ở nhiều lĩnh vực, không chỉ là phát triển phần mềm đám mây. Ví dụ, các công ty AI ngày càng cần cách để chuyển dữ liệu đào tạo của họ đến các khu vực và nền tảng khác nhau để tìm nguồn xử lý GPU.
Khi đến việc tạo ra các đăng ký đám mây an toàn hơn, tuy nhiên, Cabral nói rằng sáng kiến của Chainguard chính là loại dự án mà Cloudflare hy vọng sẽ được hỗ trợ bằng R2.
“Công việc của Chainguard để nghĩ lại cơ sở hạ tầng quan trọng trong việc phân phối phần mềm—như kho đăng ký container—và đảm bảo rằng nó được xây dựng với nguyên tắc an toàn theo thiết kế mà hệ sinh thái cần, là loại sự chú ý tích cực sẽ giúp ngăn chặn các cuộc tấn công độc hại,” cô nói. “Quá nhiều lần, an ninh được xem xét sau cùng, điều này có thể gây hậu quả tồi tệ khi những kẻ tấn công trở nên ngày càng tinh tế và khôn ngoan trong khả năng lợi dụng các biện pháp an ninh kém chất lượng.”
Chainguard sẽ sử dụng kho đăng ký an toàn của mình để phân phối hình ảnh và cũng sẽ làm cho thiết kế kho đăng ký này có sẵn để người khác có thể áp dụng. Đối với người dùng web thông thường, sự thay đổi sẽ không thấy, nhưng nó có thể ngăn chặn hậu quả từ các cuộc tấn công chuỗi cung ứng phần mềm có thể—và đã—tác động đáng kể đến cuộc sống của mọi người.
