Supply Chain Attacks: Når den digitale forsyningslinja blir angrepsvektor

En fellesnevner fysiske og digitale produkter har, er at de begge er avhengige av en forsyningslinje. El-biler trenger kobolt fra Kongo, mens webapp'en trenger biblioteker fra npm.org eller NuGet. Etter hvert som digitale produkter vokser og blir mer avanserte, blir også forsyningslinja lengre. De siste årene har vi sett et økende antall sikkerhetshull og angrep rettet mot nettopp forsyningslinja. I denne talken skal vi se på hva en fysisk forsyningslinje har til felles med en digital en, og identifisere svakheter og gotcha's det er lurt å være klar over når man bygger digitale produkter: Fra biblioteknedlasning til kompilering, verktøy og distribusjon. Det blir eksempler fra virkeligheten hvor svakheter i forsyningslinja førte til innbrudd i store offentlige etater, bitcoins på avveie og hundrevis av timer nattesøvn mistet.

Transcript

1. Supply Chain Attack Andreas Mosti (ex)Fagleder Sikkerhet Bekk
2. What’s a supply chain?
6. Ca. 1000 parts, most of them “passive”…
7. But 35 critical components, single-source dependencies
11. 60 top level packages 20 providers 78 top level packages 32 providers
12. 60 top level packages 20 providers 78 top level packages 32 providers 279 total packages 39 providers 3516 total packages ???? providers
17. “In an Internet Security Threat Report, powered by Symantec, it is stated that supply chain attacks still continue to be a feature of the threat landscape, with an increase by 78 percent in 2018.”
20. “None of the package hosting services can ever guarantee that all the code its users upload is malware-free”
22. Typosquatting
24. Dependency Confusion
28. Public Package Registry Private Package Registry Package.1.0.0 Package.2.3.0 Package.99.0.0 Package.5.3.0
32. Service breaches
43. How do we protect ourselves?