Yazılım ve veri bütünlüğü hataları

Yazılım ve veri bütünlüğü hataları dersinde neler var

Web Uygulama Güvenliği yolunun 8 dakikalık dersi. Kazanılan puan: 50 XP.

Bir güncelleme, bir bağımlılık ya da bir CI/CD adımı doğrulanmadan çalışırsa, bütünlük zaten bozulmuştur.

Bu derste imzasız güncellemenin ve bağımlılık karışıklığının nasıl kullanıldığını göreceksin.

İmza doğrulama, kilit dosyası ve yapı hattı sıkılaştırmasıyla bu açığı kapatacaksın.

Bu derste sınanan sorular

• Aşağıdaki olayları bütünlük hatasının türüne göre ayır. İlk tür, yapının kendisini imzalatmadan yaymaktır. İkinci tür, adlandırma boşluğunu kullanıp paket yöneticisini kandırmaktır. İkisi de zincirin bir halkasının doğrulanmadığı varsayımına dayanır.
• SolarWinds olayında saldırgan hangi aşamaya sızarak resmî güncellemeye kod ekledi? Saldırgan test sonrası yapı ve yayın adımına sızdı. Kod incelemesi temizdi, ama yayına giden paket sonradan değiştirildi. Bu yüzden yayın aşaması da imza ve izlemeyle korunmalıdır.
• Bağımlılık karışıklığına karşı hangi önlemler işe yarar? İlk üç önlem, paket yöneticisinin sahte pakete yönelmesini engeller. Sürüm numarasını rastgele artırmak hiçbir şeyi doğrulamaz, saldırgan yine daha yüksek bir sayı yayımlayabilir.
• package-lock.json içindeki sağlama toplamlarını değiştirmeden, kilitli sürümlerle kurulum yapan npm komutunu yaz. npm ci, package-lock.json içindeki tam sürüm ve sağlama toplamını değiştirmeden kurar; tutmayan bir toplam varsa kurulumu durdurur. npm install ise kilidi güncelleyebilir ve bu korumayı zayıflatır.
• Bir ekip üretim sunucularına herkese açık bir kayıttan çektiği imajı imza doğrulamadan çalıştırıyor. En doğru ilk adım hangisidir? Uzun ad ya da yeniden başlatma imzasızlık sorununu çözmez. İmza doğrulaması açıkken kayıt hesabı ele geçse bile değişmiş imaj reddedilir, çünkü imza artık tutmaz.