基于 Maven POM 的自动化构建系统中依赖真实性验证

Question

我刚刚被指出一篇非常有趣的文章 (已存档）有关安全问题被称为 交叉构建注入 (XBI)。基本上，这是走私不良代码的一个奇特名称 通过自动构建系统（例如 ant、maven 或 ivy）在构建时将其集成到应用程序中。

这个问题可以通过引入依赖项的加密签名验证来缓解，因为它目前在许多操作系统中用于下载包。

需要明确的是：我并不是在谈论简单地为工件提供 md5 或 sha1 哈希值。这已经完成了，但是这些哈希值存储在与工件相同的位置。因此，一旦恶意黑客破坏了存储库并可以替换工件，他们也可以替换哈希值。

因此，真正需要的是某种 PKI，它允许开发人员签署他们的工件，并允许 Maven 验证这些签名。由于签名是使用开发人员的私钥完成的，因此当仅存储库受到损害时，签名无法被篡改。

有谁知道maven 中的状态吗？

Answer 1

tl;dr：

Maven 中不存在的验证机制以及 POM DSL 中缺失的语言构造是严重的安全威胁。在解决 MNG-6026 之前，请使用一些方法例如 Gradle Witness。

简介

到目前为止提供的答案似乎都没有解决问题。 对工件进行签名只是迈向正确方向的第一步。但是用于签署工件的密钥被认为是可信/有效的条件是非常不透明的，有时甚至很弱。例如： pgpverify-maven-plugin 或 Nexus Professional 确实验证了该工件的签名是否有效？仅从密钥服务器检索密钥并验证工件是不够的。

Sonatype 在他们的 博客文章：

PGP 签名：另一个层面

在消费方面，您可以使用 Nexus Professional 中的采购
检查签名是否存在，以及在发布方面
使用 PGP 签名签署您的版本并进行 PGP 签名
在公钥服务器上可用将帮助人们仔细检查
工件和校验和是一致的。 注意：我认为还有更多
创建鼓励使用 PGP 密钥的工具需要做的工作
更重要的是，给予存储库管理员一些控制权
哪些密钥值得信任。

（重点是我的）

使用信任信息扩展项目对象模型 (POM)

我们需要的是能够对从项目或工件到声明的依赖项的信任关系进行建模。因此，如果所有相关方都声明这样的关系，我们就能够创建一条从根（例如项目）到其依赖项直至最后一个传递依赖项的“信任链”。 项目对象模型 (POM) 需要通过 进行扩展依赖项的元素。

当前情况

现在我们有类似

<dependency>
  <groupId>junit</groupId>
  <artifactId>junit</artifactId>
  <version>4.0</version>
</dependency>

硬依赖的

东西对于硬依赖，>可以包含工件及其 POM 文件的 sha256sum：

<dependency>
  <groupId>junit</groupId>
  <artifactId>junit</artifactId>
  <version>4.0</version>
  <verification>
    <checksum hash='sha-256'>
      <pom>[sha256 of junit pom file]</pom>
      <artifact>[sha256sum of artifact (junit.jar)]</artifact>
    </checksum>
  </verification>
</dependency>

软依赖项

如果使用软依赖项或范围依赖项，那么我们可以指定用于对工件进行签名的密钥对的公钥（或多个）

<dependency>
  <groupId>junit</groupId>
  <artifactId>junit</artifactId>
  <version>[4.0,4.5)</version>
  <verification>
    <openpgp>[secure fingerprint of OpenPGP key]</openpgp>
    <!-- possible further 'openpgp' elements in case the artifacts in the
         specified version range where signed by multiple keys -->
  </verification>
</dependency>

现在呢？

感谢 peter 触发了我，我提出了 Apache Maven 的功能请求：<强>MNG-6026。让我们看看接下来会发生什么。

其他方法

Gradle Witness 对 gradle 执行类似的操作。但它有一些缺点：

• 它构建在 gradle 之上（并构建在 POM 中）
• 它只允许硬依赖，因为它使用哈希。

Maven Enforcer 插件 似乎也是如此。

pgpverify-maven-plugin 似乎也遵循这种方法。尽管缺少文档，但有一个 测试对于所谓的 keysMap 属性，它也是 在配置文件中显示为 keysMapLocation。

Answer 2

更新：下面提到的校验和确实仅用于完整性检查，并且确实与工件一起存储，因此它们不能回答问题。

实际上，需要使用 PGP 对工件进行签名，以将它们上传到与中央同步的存储库（Maven GPG 插件 可以帮助完成此步骤）。要在下载时验证签名，我们邀请您使用支持此功能的存储库管理器。来自 如何使用 Maven 生成 PGP 签名：

如果您使用下载工具
来自中央 Maven 的工件
存储库，您需要确保
你正在努力验证
这些工件具有有效的 PGP
可以验证的签名
公钥服务器。如果你不这样做
验证签名，那么你就没有
保证你是什么
下载的是原版神器。
验证签名的一种方法
工件是使用存储库
像 Nexus Professional 这样的经理。在
您可以配置 Nexus Professional
采购套件检查每一个
下载有效 PGP 的工件
签名并验证签名
针对公钥服务器。

如果您正在使用以下方式开发软件
Maven，你应该生成一个PGP
为您的发布签名。
发布有效的软件
签名意味着您的客户
可以验证软件工件
由原作者生成
并且它没有被修改过
过境的任何人。最大的 OSS
像 Apache 软件一样锻造
基金会要求所有项目
由发布经理发布，其
密钥已被其他成员签名
组织的名称，如果您愿意的话
同步您的软件工件
到 Maven 中心，您需要
提供 pgp 签名。

另请参阅

• 如何生成 PGP 签名Maven
• 上传中央 Maven 存储库的工件：DIY

---

Maven 安装插件可以配置为创建完整性校验和（MD5、SHA-1），您可以为每个存储库配置校验和策略（请参阅 checksumPolicy）。

Maven 存储库管理器也可以/应该能够处理它们。例如，请参见：

• 6.5。管理存储库
  

Answer 3

现在可以使用此插件在 Maven 中验证 PGP 签名： https:/ /www.simplify4u.org/pgpverify-maven-plugin/index.html

以下是如何在父 pom.xml 中配置它：

<build>
    <plugins>

        <plugin>
            <groupId>org.simplify4u.plugins</groupId>
            <artifactId>pgpverify-maven-plugin</artifactId>
            <version>1.5.1</version>
            <configuration>
                <pgpKeyServer>https://pgp.mit.edu</pgpKeyServer>
            </configuration>
            <executions>
                <execution>
                    <goals>
                        <goal>check</goal>
                    </goals>
                    <phase>install</phase>
                </execution>
            </executions>
        </plugin>           

    </plugins>

</build>

此配置将 PGP 检查绑定到 安装阶段。

如果您不想一直运行检查，请删除 元素并手动运行它，如下所示：

mvn org.simplify4u.plugins:pgpverify-maven-plugin:check

Answer 4

有一个新的 Maven 插件，它提供依赖项真实性的完整性检查。

https://github.com/chains-project/maven-lockfile

maven-lockfile能够为Maven项目创建锁文件并根据锁文件进行构建。

该版本是测试版，欢迎所有反馈。

Answer 5

“这个问题可以通过引入针对依赖项的加密签名验证来缓解，因为目前许多操作系统都用于下载软件包。”

您正在寻找什么来签署您的 jar 文件。
http://download-llnw.oracle.com/ javase/1.3/docs/tooldocs/win32/jarsigner.html

您需要采取适当的措施来保护您的私钥。但如果您对这种镇静感到偏执，您可能需要了解一下 PKI（公钥基础设施）。