什么是混合攻击？ （Docker - 快照键）

Question

有人可以帮助我理解安全性中的混合和匹配攻击吗？我试过检查谷歌，但无法得到一个明确的想法。对示例的任何解释都应该有用

另外，这与docker内容信任中的快照键有什么关系？

Answer 1

该表达用于＆＃34; Manage keys for content trust＆＃34;：

  

快照：此键标记当前的图像标记集合，防止混合和匹配攻击。

     

首次启用Content Trust docker push时，会自动为映像存储库生成root，targets，snapshot和timestamp键：
  时间戳和快照键是安全生成的，并存储在与Docker注册表一起部署的签名服务器中。这些密钥是在后端服务中生成的，该服务不直接暴露于互联网并在静止时加密。

这是docker notary architecture：

的一部分

  

回滚，冻结，混合和匹配 - 攻击者可以请求公证签名者签署他们想要的任意时间戳（可能是快照）元数据。攻击者可以发起冻结攻击，并根据快照密钥是否可用，在目标文件到期之前进行混合攻击。

     

只要攻击者确保其恶意元数据的版本号高于任何客户端可能拥有的最新优质元数据的版本号，那么无论是否具有固定信任的客户端都将容易受到这些攻击。 / p>      

请注意，时间戳和快照键在仅限服务器的折衷方案中不会受到影响，因此不需要进行密钥轮换。例如，一旦减轻了服务器危害，攻击者将无法生成有效的时间戳或快照元数据，并在恶意镜像上提供服务。

     

攻击者可以添加恶意内容，从集合中删除合法内容，并混合集合中的目标，但仅限于密钥可以签名的特定委派角色。

对于这些术语的定义，可以查看＆＃34; Improving Hackage security＆＃34; （对于Haskell，但它也适用于Docker注册表）：

  

  

• 回滚攻击攻击者获取客户端以安装旧版本的软件包，而不是客户端之前所知道的版本。   例如，考虑旧版软件包可能存在已知安全漏洞的情况。

  

• 冻结攻击攻击者阻止更新整套软件包（例如，始终使用旧快照进行响应）。

  

• 混合并匹配攻击攻击者提供上游存储库中从不存在的包或包元数据的组合。