2

我正在寻找社区关于解决此问题的最佳方法的建议：

  1. 我在 git 中收集了厨师食谱，定义了实验室，例如 jenkins CI 设置，人们可以根据自己的用途进行分叉和定制

  2. 但是，我可以预见到有人可能想要添加食谱的某些不可变部分的情况，例如防火墙设置

  3. 什么策略可以锁定文件的某些部分以验证它没有被更改，同时允许在此之外进行任意更改

  4. 理想情况下，如果需要，它还可以解决混淆部分的能力

我是否会将我自己的 DSL 添加到代码中 - 每个受保护块的校验和 - 在将其传递给厨师之前对其进行预处理以解包和验证它？

例如，我第一次尝试一种格式 - 仍然不能解决人们只是删除所有签名部分的问题 - 除非每个文件都必须签名

#---SIGNED-FILE SHA-256 507e74380188c07bad2fa66acb8cbbeeb63f84fcee5fd639499575654239cd49

#
# Cookbook Name:: jenkins
# Recipe:: default
#

# https://wiki.jenkins-ci.org/display/JENKINS/Installing+Jenkins+on+Ubuntu
# This is super-simple, compared to the other Chef cookbook I found
# for Jenkins (https://github.com/fnichol/chef-jenkins).
#
# This doesn't include Chef libraries for adding Jenkin's jobs via
# the command line, but it does get Jenkins up and running.

include_recipe "apt"
include_recipe "java"

#---SIGNED-SECTION-START SHA-256 e4d3d02f14ee2a6d815a91307c610c3e182979ce8fca92cef05e53ea9c90f5c7
apt_repository "jenkins" do
  uri "http://pkg.jenkins-ci.org/debian"
  key "http://pkg.jenkins-ci.org/debian/jenkins-ci.org.key"
  components ["binary/"]
  action :add
end
#---SIGNED-SECTION-END

#---OBFUSCATED-SECTION-START SHA-256 5f536f2137dc7e2c5817de861d1329ead72b1e9d2dbb9dbe181ec7bc274dddeb
YXB0X3JlcG9zaXRvcnkgImplbmtpbnMiIGRvCiAgdXJpICJodHRwOi8vcGtnLmplbmtpbnMtY2kub3JnL2RlYmlhbiIKICBrZXkgImh0dHA6Ly9wa2cuamVua2lucy1jaS5vcmcvZGViaWFuL2plbmtpbnMtY2kub3JnLmtleSIKICBjb21wb25lbnRzIFsiYmluYXJ5LyJdCiAgYWN0aW9uIDphZGQKZW5k
#---OBFUSCATED-SECTION-END

package "jenkins"

service "jenkins" do
  supports [:stop, :start, :restart]
  action [:start, :enable]
end
4

1 回答 1

0

文件以签名部分开头的设计如何，描述将在整个文件中找到的签名实体。然后，您的解析代码将需要检查每个实体是否按照描述存在并且未被删除。

为了防止重放攻击，您需要在每个签名中包含一个时间戳，并在每次更改任何已签名部分时重新计算整个文件的签名。因此，文件仅在以下情况下有效：

  • “标题”中描述的签名实体存在于文件中。

  • 每个签名都验证并包含相同的时间戳。

  • 可选：签名时间戳匹配（在可接受的增量内）文件时间戳？

剩下的风险是有人用以前的版本替换了整个文件（即有效地删除了他们不喜欢的新部分）。我不确定您如何防御这种情况，除非按照上面的建议检查文件时间戳。

注意。我的回答对创建和解析文件时可以实现的目标做出了假设。我可能误解了您环境的限制（我不熟悉 git），如果是请忽略我！

于 2012-09-02T10:03:53.840 回答