IT时报记者 孙妍
对于软件开发者来说,无论是大型科技公司和创业团队,还是计算机科学专业学生和独立开发者,都离不开一种在线代码仓库——Git 服务。
近来,Git服务频繁成为网络攻击的目标,攻击者可能在开发者不知情的情况下,将恶意代码插入现有项目中。而此项端到端加密技术的原理是从传输起点到终点全程保护数据,即使服务平台被黑客入侵,数据仍无法被解密。初步测试结果显示,该加密系统在现有Git服务和公开代码库,即供研究人员测试算法的数据源上运行成功。
近日,由悉尼大学的研究人员参与的一个国际团队开发了用于保护Git服务的端到端加密技术,可与现有的众多Git服务平台兼容。研究人员表示,当该加密系统部署后,数据在设备与Git服务器之间的存储与同步时间几乎不受影响,可实现无缝运行。
左侧是原始文本,右侧是加密版本,就像是一堵随机字符组成的“文字墙”
“Git服务平台之所以不可或缺,是因为它能让大量协作者同时在一个项目上工作,而不影响效率,但这种优势恰恰也是阻碍端到端加密实现的关键难题。”悉尼大学工程学院计算机科学系副教授唐强(Qiang Tang)表示。他介绍道,目前的Git安全方案仍存在不足,且计算资源开销较大。在 Git服务平台上,无数行代码正以极快速度被修改与更新,这就造成占用过多的处理时间、带宽和存储空间等问题,传统的端到端加密难以跟上节奏,需要不断刷新加密版本。
“我们必须在‘安全’与‘效率’之间取得平衡,既要保护代码,又不能让用户计算机因加密过程而性能大幅下降。”唐强表示。目前,研究团队采用逐字符加密,仅将修改的部分视为新增数据进行加密和追加,从而显著减少通信与存储负担。换句话说,如果你在文档中删除了一个单词,系统只会加密那处改动,而不是重新加密整份文件。这种方式大大节省了带宽和存储空间。
悉尼大学的共同作者李雅楠博士(Yanan Li) 表示,另一个挑战是确定哪些安全需求是必须的,因为有些需求非常微妙,例如何时允许追踪和公开验证所有编辑来源。“如果没有妥善解决这一问题,Git 服务器就可能面临恶意代码注入的风险,有时甚至会直接威胁系统的保密性。”他说。
研究团队希望未来能将该加密代码正式引入主流Git服务,或以开源形式向全球发布。相关成果将于今年10 月在 ACM 计算机与通信安全国际会议(ACM CCS) 上发表。
该研究部分得到了Google“数字未来计划(Digital Future Initiative)”的支持。该计划旨在通过投资基础设施、科研和合作项目,推动澳大利亚的数字化未来。来自 Google 的著名研究科学家、合作作者莫提·杨(Moti Yung)博士表示:“计算生态系统的演进总是从一项面向可信参与者的新工具开始,例如互联网、移动网络、聊天应用等。但随着这些系统的成熟与扩展,不可避免地出现不可信或恶意的参与者。Git 服务同样如此——它最初是为了促进合作与版本控制,却未充分考虑潜在的恶意行为者。如今这一系统正是其走向成熟的必要一步。”