一个安全的 Python 更新框架
项目描述
保护软件更新系统的框架
更新框架 (TUF)是用于安全内容交付和更新的框架。它可以防止各种类型的供应链攻击，并提供妥协的弹性。此存储库是 用 Python 编写的参考实现。它旨在符合TUF 规范的 1.0 版。
Python-TUF 提供了两个 API：
tuf.api.metadata，一种“低级”API，旨在提供对 TUF 元数据的轻松安全访问，并处理来自/到文件的（反）序列化。tuf.ngclient，一个建立在元数据 API 之上的客户端实现。
已计划但尚未提供对实施存储库操作的高级支持 ：请参阅ADR 10。
参考实现力求成为那些致力于以自己的语言、环境或更新系统实现 TUF 的人的可读指南和演示。
关于更新框架
更新框架 (TUF) 设计可帮助开发人员维护软件更新系统的安全性，即使是针对破坏存储库或签名密钥的攻击者也是如此。TUF 提供了一个灵活的 规范 定义功能，开发人员可以在任何软件更新系统中使用或重新实现以满足他们的需求。
TUF 由Linux 基金会托管，作为云原生计算基金会(CNCF) 的一部分，其设计被 各种科技公司和开源组织用于生产。一种称为Uptane的 TUF 变体用于保护汽车的无线更新。
有关 TUF 的更多信息，请参阅TUF 的网站！
文档
接触
欢迎在我们的低容量邮件列表或CNCF Slack上的#tuf频道上提出问题、反馈和建议。
我们努力使规范易于实施，因此，如果您遇到任何不一致或遇到任何困难，请通过发送电子邮件或在 GitHub规范存储库中报告问题来告知我们。
安全问题和错误
可以通过发送电子邮件至 jcappos@nyu.edu报告安全问题。
报告至少必须包含以下内容：
- 漏洞描述。
- 重现问题的步骤。
或者，可以使用 PGP 对通过电子邮件发送的报告进行加密。您应该使用 PGP 密钥指纹E9C0 59EC 0D32 64FA B35F 94AD 465B F9F6 F8EB 475A。
请不要使用 GitHub 问题跟踪器提交漏洞报告。问题跟踪器用于错误报告和提出功能请求。主要功能请求，例如对规范的设计更改，应通过 TUF 增强提案 (TAP) 提出。
限制
当使用相同的 TUF 客户端同时下载相同的目标文件时，参考实现可能会出现意外行为。
执照
这项工作是双重许可的，并根据 (1) MIT 许可和 (2) Apache 许可，版本 2.0 分发。请参阅LICENSE-MIT 和LICENSE。
致谢
该项目由云原生计算基金会下的 Linux 基金会托管。TUF 的早期开发由纽约大学安全系统实验室的成员管理。我们感谢所有 维护者和退休维护者的努力，以及贡献者 Konstantin Andrianov、Kairo de Araujo、Ivana Atanasova、Geremy Condra、Zane Fisher、Pankhuri Goyal、Justin Samuel、Tian Tian、Martin Vrachev 和 Yuyu Zheng谁对 TUF 的参考实现有很大帮助。维护者和贡献者受CNCF 社区行为准则的约束。
本材料基于美国国家科学基金会资助的工作，资助号为 CNS-1345049 和 CNS-0959138。本材料中表达的任何观点、发现和结论或建议均为作者的观点，不一定反映国家科学基金会的观点。
下载文件
下载适用于您平台的文件。如果您不确定要选择哪个，请了解有关安装包的更多信息。