Moderný vesmírny výskum beží na softvéri.
Pozemné systémy, komunikačné platformy, prostredia na spracovanie dát, monitorovacie nástroje, identitné služby, cloudová infraštruktúra, výskumné aplikácie aj prevádzkové pracovné stanice – všetko závisí od softvéru, ktorý sa v čase mení.
Aktualizácie sú súčasťou udržiavania bezpečnosti týchto systémov. Opravujú zraniteľnosti, zlepšujú spoľahlivosť, pridávajú funkcionalitu a podporujú kompatibilitu s novými štandardmi. Bez pravidelných a dôveryhodných aktualizácií sa aj dobre navrhnuté systémy stávajú zraniteľnými.
Softvérové aktualizácie však prinášajú aj riziko.
Mechanizmus aktualizácií je silným bodom dôvery. Ak je kompromitovaný, útočník môže byť schopný distribuovať škodlivý kód cez ten istý kanál, ktorý organizácia používa na údržbu svojich systémov. Ak je podpisovanie aktualizácií slabé, ak sú repozitáre zle chránené, ak sú procesy dodávateľov nejasné alebo ak nasadzovanie nie je riadené, samotná cesta aktualizácie sa môže stať cestou útoku.
Pre vesmírny výskum je to dôležité, pretože softvér je blízko citlivých dát a dôveryhodnej komunikácie.
Kompromitovaná aktualizácia ovplyvňujúca systém pozemného segmentu, komunikačnú službu, identitnú platformu alebo prostredie na spracovanie dát by mohla mať následky presahujúce jediné zariadenie. Mohla by ovplyvniť dôvernosť, integritu systémov, dôveru partnerov a prevádzkovú kontinuitu.
Dôveryhodné aktualizácie preto nie sú rutinným IT detailom. Sú základnou súčasťou bezpečnej komunikačnej architektúry.
Pôvod softvéru a podpisovanie
Prvým princípom je pôvod softvéru.
Organizácie potrebujú vedieť, odkiaľ softvér pochádza, kto ho udržiava, ako je zostavovaný a ako sú dodávané aktualizácie. Týka sa to komerčných produktov, open-source komponentov, interne vyvinutých nástrojov, balíkov dodávaných tretími stranami aj špecializovaných systémov.
Vo výskumných prostrediach sa softvér často hromadí v čase. Projekt môže používať platformy dodávateľov, vlastné skripty, akademické nástroje, cloudové služby, knižnice, kontajnery a prevádzkový softvér vyvíjaný rôznymi tímami. Niektoré komponenty môžu byť dobre udržiavané. Iné už nemusia mať aktívneho vlastníka.
To vytvára neistotu.
Stratégia dôveryhodných aktualizácií začína identifikáciou kritických softvérových aktív a porozumením ich dodávateľského reťazca. Ktoré komponenty podporujú bezpečnú komunikáciu? Ktoré systémy spracovávajú citlivé dáta? Ktoré nástroje majú privilegovaný prístup? Ktoré závislosti sú externe udržiavané? Ktorý softvér už nie je podporovaný?
Tieto otázky pomáhajú určiť, kde je integrita aktualizácií najdôležitejšia.
Druhým princípom je kryptografické podpisovanie.
Softvérové aktualizácie by mali byť podpísané, aby systémy mohli pred inštaláciou overiť ich autenticitu a integritu. Platný podpis pomáha potvrdiť, že aktualizácia pochádza z dôveryhodného zdroja a nebola pozmenená.
Podpisovanie však funguje len vtedy, ak je chránená dôvera, ktorá za ním stojí.
Podpisové kľúče musia byť starostlivo spravované. Prístup by mal byť obmedzený. Používanie kľúčov by malo byť monitorované. Mali by existovať postupy pre prípad kompromitácie. Mali by byť plánované expirácia, rotácia a odvolanie. Proces podpisovania by mal byť tam, kde je to vhodné, oddelený od bežnej vývojovej činnosti.
Slabý proces podpisovania môže vytvárať falošný pocit bezpečnosti.
Pre systémy zapojené do bezpečnej komunikácie si podpisové kľúče zaslúžia osobitnú pozornosť. Ak útočník dokáže podpísať škodlivý softvér ako dôveryhodný, technická sila šifrovania, autentifikácie alebo monitoringu môže byť podkopaná zvnútra.
Riadená distribúcia a testovanie
Tretím princípom je riadená distribúcia.
Dôveryhodný softvér by mal byť doručovaný cez dôveryhodné kanály. Organizácie by sa mali vyhýbať neformálnym praktikám aktualizácie, ako je posielanie balíkov e-mailom, sťahovanie binárnych súborov z neoverených zdrojov, manuálne kopírovanie súborov medzi systémami alebo spoliehanie sa na nezdokumentované pokyny dodávateľov.
Riadené repozitáre, overené kontrolné súčty, podpísané balíky, bezpečný prenos, riadenie prístupu a auditné logy – všetko pomáha posilniť proces aktualizácie.
To je obzvlášť dôležité v multipartnerských výskumných prostrediach. Rôzne organizácie môžu potrebovať nasadiť kompatibilný softvér alebo bezpečnostné záplaty. Ak každý partner používa iný neformálny proces, dôveru je ťažké udržiavať.
Bezpečné komunikačné prostredie by malo jasne ukázať, odkiaľ schválený softvér pochádza a ako je validovaný pred použitím.
Štvrtým princípom je testovanie pred nasadením.
Bezpečnostné aktualizácie môžu byť urgentné, no neotestované aktualizácie môžu spôsobiť výpadky. Vo výskumných a prevádzkových prostrediach môže neúspešná aktualizácia prerušiť pracovné postupy, narušiť kompatibilitu alebo ovplyvniť komunikáciu medzi systémami.
Dôveryhodné procesy aktualizácie by mali zahŕňať testovanie primerané riziku systému. Kritická komunikačná infraštruktúra, identitné služby, systémy správy kľúčov a komponenty pozemného segmentu môžu vyžadovať fázové nasadzovanie, plány návratu k predchádzajúcej verzii a kontroly kompatibility.
Cieľom nie je zbytočne spomaľovať bezpečnostné záplaty. Cieľom je nasadzovať aktualizácie spôsobom, ktorý zachováva bezpečnosť aj kontinuitu.
Závislosti a uistenie zo strany dodávateľov
Piatym princípom je viditeľnosť do závislostí.
Moderný softvér zriedka stojí osamotene. Aplikácie závisia od knižníc, frameworkov, kontajnerov, balíkov operačných systémov, API, cloudových služieb a nástrojov na zostavovanie. Zraniteľnosť alebo kompromitácia jednej závislosti môže ovplyvniť systémy, ktoré sa zdajú nesúvisiace.
Pre komunikáciu vo vesmírnom výskume sa skryté závislosti môžu stať vážnym rizikom. Systém môže byť na úrovni aplikácie považovaný za bezpečný, no spoliehať sa na zastarané kryptografické knižnice, nepodporované komponenty alebo procesy zostavovania, ktoré nie sú monitorované.
Organizácie by mali udržiavať viditeľnosť do kritických závislostí, najmä tam, kde softvér podporuje autentifikáciu, šifrovanie, podpisovanie, prenos dát alebo vzdialený prístup.
To je dôležité aj pre postkvantovú pripravenosť.
S vývojom kryptografických štandardov budú softvérové komponenty potrebovať podporu nových algoritmov, aktualizovaných protokolov a revidovaných modelov dôvery. Organizácie, ktoré nerozumejú svojim závislostiam, budú mať s plánovaním migrácie ťažšiu úlohu.
Šiestym princípom je uistenie zo strany dodávateľov.
Mnohé procesy softvérových aktualizácií sú čiastočne alebo úplne riadené dodávateľmi. To je bežné, no vyžaduje si to riadenie. Organizácie by mali rozumieť tomu, ako dodávatelia zostavujú, podpisujú, testujú a distribuujú aktualizácie. Mali by tiež rozumieť, ako sa zverejňujú zraniteľnosti, ako rýchlo sa vydávajú záplaty, ako dlho sú produkty podporované a ako sa komunikujú bezpečnostné problémy.
V prostrediach s vysokou mierou dôvery by tvrdenia dodávateľov nemali zostávať vágne.
Tímy obstarávania a projektové tímy by mali klásť priame otázky: Ako sú aktualizácie podpísané? Kto kontroluje podpisové kľúče? Čo sa stane, ak je podpisový kľúč kompromitovaný? Ako sú monitorované závislosti? Aký je životný cyklus podpory? Existuje plán na podporu postkvantovej kryptografie? Ako sú doručované núdzové záplaty?
Tieto otázky sú súčasťou zodpovedného riadenia rizika.
Pripravenosť na incidenty a prostredie zostavovania
Siedmym princípom je pripravenosť na incidenty.
Organizácie by mali plánovať pre prípad, že sa mechanizmus aktualizácie, softvérový balík alebo komponent dodávateľa stane nedôveryhodným. To si vyžaduje jasné postupy.
Dá sa škodlivá alebo chybná aktualizácia zablokovať? Dajú sa rýchlo identifikovať dotknuté systémy? Dajú sa odvolať certifikáty alebo podpisové kľúče? Dajú sa systémy bezpečne vrátiť do predchádzajúceho stavu? Dajú sa upovedomiť partneri? Môže komunikácia pokračovať alternatívnymi cestami, kým sa problém vyšetruje?
V multipartnerskom prostredí vesmírneho výskumu by tieto otázky mali byť vyriešené skôr, ako nastane kríza.
Reťazec aktualizácií je súčasťou reťazca dôvery. Keď je dôvera narušená, záleží na rýchlosti reakcie.
Ôsmym princípom je ochrana prostredia zostavovania.
Pre organizácie vyvíjajúce vlastný softvér začína proces aktualizácie ešte pred distribúciou. Repozitáre zdrojového kódu, systémy zostavovania, poverenia vývojárov, automatizačné pipeline, testovacie prostredia a nástroje na vydávanie – všetko si vyžaduje ochranu.
Kompromitované prostredie zostavovania môže produkovať škodlivý softvér, ktorý vyzerá legitímne. Toto riziko je obzvlášť závažné, keď je softvér po zostavení podpisovaný automaticky.
Vývojové a uvoľňovacie systémy by sa preto mali považovať za citlivú infraštruktúru. Prístup by mal byť riadený. Zmeny by sa mali preskúmavať. Výstupy zostavovania by mali byť tam, kde je to praktické, reprodukovateľné. Tajomstvá by nemali byť vložené v kóde alebo v pipelinách. Logy by mali podporovať vyšetrovanie.
Dôveryhodné aktualizácie závisia od dôveryhodných vývojových postupov.
Dlhodobá udržateľnosť a pohľad COSMOS-SECURE
Deviatym princípom je dlhodobá udržateľnosť.
Systémy vesmírneho výskumu môžu zostať v prevádzke mnoho rokov. Softvér, ktorý je dnes bezpečný, sa môže stať ťažko udržiavateľným, ak dodávatelia ukončia podporu, závislosti zostarajú alebo mechanizmy aktualizácií nedokážu podporiť nové bezpečnostné požiadavky.
Dlhodobé systémy by mali byť navrhované s ohľadom na udržiavateľnosť. Patrí sem jasná dokumentácia, cesty aktualizácie, záväzky životného cyklu zo strany dodávateľov a vyhýbanie sa zbytočnému uzamknutiu (lock-in).
Patrí sem aj kryptografická udržiavateľnosť.
Postkvantová migrácia ovplyvní systémy softvérových aktualizácií, pretože mnohé z nich sa spoliehajú na digitálne podpisy, certifikáty a mechanizmy s verejným kľúčom. Organizácie budú musieť rozumieť tomu, či ich aktualizačná infraštruktúra dokáže v prípade potreby podporiť nové podpisové schémy a dôveryhodné kotvy.
Systém, ktorý nedokáže aktualizovať svoje vlastné mechanizmy dôvery, sa časom stáva ťažko zabezpečiteľným.
COSMOS-SECURE sa zameriava na bezpečnú komunikáciu vo vesmírnom výskume a dôveryhodné softvérové aktualizácie sú súčasťou tejto misie.
Komunikačné systémy nemôžu zostať dôveryhodné, ak softvér, ktorý ich podporuje, nemožno overiť, udržiavať a bezpečne aktualizovať. Integrita aktualizácií ovplyvňuje šifrovacie nástroje, identitné platformy, monitorovacie systémy, prevádzkový softvér aj infraštruktúru, ktorá spája výskumných partnerov.
Pre organizácie zapojené do vesmírneho výskumu možno začať praktickými krokmi okamžite.
Identifikujte kritické softvérové aktíva. Preskúmajte, ako sú aktualizácie získavané a overované. Chráňte podpisové kľúče. Používajte riadené repozitáre. Testujte aktualizácie pred nasadením. Monitorujte závislosti. Pýtajte sa dodávateľov na integritu aktualizácií a postkvantovú pripravenosť. Chráňte systémy zostavovania. Pripravte postupy reakcie pre kompromitované alebo chybné aktualizácie.
Dôveryhodná komunikácia závisí od dôveryhodného softvéru.
A dôveryhodný softvér závisí od reťazca aktualizácií, ktorý je bezpečný od návrhu, riadený v prevádzke a prispôsobivý v čase.