Wat is Aanval op de toeleveringsketen (supply-chainaanval)?

Antwoord: B. Alleen intern gebruikte pakketten in een namespace plaatsen die de organisatie beheert, instellen dat die namespace alleen uit de interne repository wordt opgehaald, en versies en hashwaarden vastleggen met een lockbestand

Dependency confusion is een vorm van aanval op de toeleveringsketen van software. Sommige pakketbeheerders raadplegen meerdere repository's en kiezen, afhankelijk van hun instellingen, het hogere versienummer als dezelfde naam voorkomt; aanvallers misbruiken dat om een kwaadaardig pakket met dezelfde naam als een intern pakket te laten binnenhalen. De tegenmaatregel is voor interne pakketten een namespace (scope) te gebruiken die de organisatie beheert, die namespace alleen aan de interne repository te koppelen en expliciet aan te geven uit welke repository elk pakket wordt opgehaald. Door bovendien de versies en hashwaarden van de afhankelijkheden met een lockbestand vast te leggen, wordt voorkomen dat ze ongemerkt door iets anders worden vervangen. Ook de namespace van de organisatie als eerste in de openbare repository registreren, helpt om imitatie te voorkomen.

Antwoord: C. Een codehandtekening toont alleen wie heeft ondertekend en of de code na het ondertekenen is gewijzigd, dus ontwikkelaars moeten de buildomgeving beschermen en gebruikers moeten ook het gedrag van vertrouwde software bewaken

Codeondertekening bevestigt wie heeft ondertekend en dat de inhoud na het ondertekenen niet is gewijzigd; kwaadaardige code die vóór het ondertekenen is toegevoegd, kan ze niet herkennen. Bij het SolarWinds-incident, een schoolvoorbeeld van een aanval op de toeleveringsketen van software, werd tijdens de build kwaadaardige code toegevoegd, zodat die als legitieme ondertekende updates bij veel organisaties terechtkwam. Ook bij de backdoor in xz-utils, die in maart 2024 werd ontdekt, smokkelde iemand die lange tijd het vertrouwen als ontwikkelaar had opgebouwd, kwaadaardige code in de verspreide bestanden. Het is belangrijk dat ontwikkelaars de buildomgeving isoleren en beschermen en de herkomst van broncode tot build vastleggen en verifiëren, en dat gebruikers ook vertrouwde software met EDR en vergelijkbare hulpmiddelen bewaken op verdacht verkeer en gedrag.