Ethernos 软件安全基础框架
版本：1.0.0
状态：生效
发布机构：Ethernos Studio - Security Lab
规范编号：ESSO-10400
适用范围：Ethernos 全生态软件产品、开发工具链、包管理器及第三方兼容实现
最后更新：2026-06-17
目录
- 范围与目标
- 规范性引用
- 术语与定义
- 安全原则
- 威胁模型
- 安全等级分类
- 基础安全要求
- 传输与存储安全
- 身份与访问控制
- 审计与透明性
- 规范衔接
- 附录
1. 范围与目标
本规范为 Ethernos 生态建立软件安全的基础框架，规定所有 Ethernos 旗下及兼容产品必须遵循的最低安全基线。其目标包括：
- 建立统一的安全术语与评估标准；
- 定义软件分发、安装、运行全生命周期的安全要求；
- 为上层专项规范（如 ESSO-10410、ESSO-10430、ESSO-11420）提供基础安全支撑；
- 确保用户、开发者与系统之间的信任链可验证、可审计。
2. 规范性引用
3. 术语与定义
| 术语 |
定义 |
| 安全基线（Security Baseline） |
软件或系统必须满足的最低安全要求集合，不满足即视为不符合 Ethernos 安全标准。 |
| 信任链（Chain of Trust） |
从最终用户到软件发布者之间，通过密码学手段建立的逐级验证路径。 |
| 威胁模型（Threat Model） |
对系统可能面临的攻击者能力、攻击面及风险场景的结构化描述。 |
| 纵深防御（Defense in Depth） |
通过多层独立安全机制叠加，使单一防线失效不导致整体崩溃的安全策略。 |
| 默认安全（Secure by Default） |
软件在默认配置下即处于最安全状态，用户需显式操作才能降低安全等级。 |
| 安全源（Secure Source） |
通过 Ethernos 官方认证，具备有效证书且列入官方索引的软件分发来源。 |
| 未验证源（Unverified Source） |
未经 Ethernos 官方认证，或无法完成证书验证链的软件来源。 |
4. 安全原则
所有 Ethernos 生态软件必须遵循以下核心安全原则：
4.1 最小权限原则（Principle of Least Privilege）
软件组件、进程及用户权限应被限制在完成其功能所必需的最小范围内。任何权限提升必须显式授权并记录审计日志。
4.2 纵深防御原则（Defense in Depth）
安全机制不得依赖单一防线。至少具备以下两层独立验证：
- 传输层完整性校验（哈希）；
- 来源层身份校验（数字签名）。
4.3 默认安全原则（Secure by Default）
- 默认启用所有安全校验；
- 允许用户显式关闭特定校验，但关闭行为本身必须被记录；
- 对未验证源的操作必须伴随不可静默的警告机制。
4.4 透明可审计原则（Transparency and Auditability）
- 所有安全相关配置变更必须可追溯；
- 官方安全源索引及证书必须公开可访问；
- 鼓励第三方对官方安全基础设施进行独立审计。
4.5 故障安全原则（Fail-Secure）
当安全验证系统发生故障（如网络中断、证书服务器不可达）时，系统必须倾向于拒绝而非放行，除非用户明确选择降级模式。
5. 威胁模型
5.1 攻击者能力假设
本规范假设攻击者可能具备以下能力：
- 网络层：可实施中间人攻击（MITM）、DNS 劫持、流量篡改；
- 分发层：可伪造或篡改软件包、元数据文件；
- 社会工程：可诱导用户安装来自未验证源的软件。
5.2 核心威胁场景
| 威胁 ID |
场景 |
对应防护要求 |
| T-001 |
分发包在传输过程中被篡改 |
强制 TLS + 端到端哈希校验 |
| T-002 |
攻击者伪造官方安全源服务器 |
证书链验证 + 公钥固定（Pinning） |
| T-003 |
用户被诱导安装恶意第三方包 |
来源警告机制 + 默认安全源策略 |
| T-004 |
旧版本包被降级攻击重新分发 |
版本序列校验 + 证书时间戳验证 |
| T-005 |
官方签名密钥泄露 |
密钥轮换机制 + 历史公钥追溯 |
6. 安全等级分类
Ethernos 生态软件按安全敏感度分为三个等级：
6.1 Level 1 —— 基础级（General）
适用于普通工具、示例代码、非核心库。
- 必须支持官方安全源验证；
- 允许在显式确认后安装未验证源内容；
- 警告机制可关闭，但日志必须保留。
6.2 Level 2 —— 标准级（Standard）
适用于生产环境依赖库、框架、编译器组件。
- 强制官方安全源验证；
- 未验证源安装需二次确认且不可全局静默关闭；
- 所有签名验证失败必须中止操作。
6.3 Level 3 —— 核心级（Critical）
适用于安全基础设施、密钥管理、系统级工具。
- 仅允许官方安全源安装；
- 所有证书必须在线实时验证；
- 任何验证失败均不可被用户覆盖。
7. 基础安全要求
7.1 来源验证要求
- 任何软件包在安装或更新前，必须验证其来源身份；
- 验证依据必须是密码学证书，而非单纯的域名或 URL 匹配；
- 证书验证必须覆盖发布者身份与包内容完整性两个维度。
7.2 完整性校验要求
- 所有分发包必须附带密码学哈希值；
- 哈希算法必须符合 ESSO-10410 标准；
- 客户端必须在下载完成后、安装开始前，重新计算本地哈希并与证书值比对。
7.3 时效性验证要求
- 证书必须包含签发时间戳；
- 客户端应验证证书未过期（若证书设有有效期）；
- 禁止接受签发时间晚于当前系统时间的证书（防未来日期伪造）。
8. 传输与存储安全
8.1 传输安全
- 所有官方安全源服务器、证书服务器必须强制使用 HTTPS（TLS 1.3 或更高版本）；
- 证书服务器域名必须纳入公钥固定（Pinning）列表；
- 禁止在明文 HTTP 通道上传输证书、签名或哈希值。
8.2 本地存储安全
- 客户端缓存的证书、公钥及哈希值必须存储于受保护的本地存储区域；
- 缓存数据应定期与官方服务器同步，过期缓存不得用于验证；
- 本地配置文件中的安全相关设置（如警告关闭标志）必须以明文或标准格式存储，便于审计。
9. 身份与访问控制
9.1 发布者身份
- 每个官方认证包必须绑定唯一的发布者标识；
- 发布者标识变更必须记录于指纹元信息历史中（参见 ESSO-10430）。
9.2 用户身份（适用时）
- 对于需要身份认证的操作（如发布包、更新证书），必须使用双因素认证（2FA）；
- 私钥必须由发布者本地持有，Ethernos 官方不托管发布者私钥。
10. 审计与透明性
10.1 日志要求
- 所有安全验证事件（通过、失败、跳过、降级）必须记录日志；
- 日志内容至少包括：时间戳、操作类型、包指纹、版本、验证结果、用户决策（若适用）。
10.2 透明性要求
- 官方安全源索引及证书文件必须通过 Git 版本控制，变更历史公开可查；
- 鼓励社区镜像定期爬取并交叉校验官方服务器内容。
11. 规范衔接
本规范为 Ethernos 安全规范体系的根基，与上层规范的关系如下：
- ESSO-10410：在本框架下定义具体的哈希与签名算法标准；
- ESSO-10430：在本框架下定义包管理器的证书格式与发放机制；
- ESSO-11420：在本框架下定义包管理器对网络来源库的安全处理策略。
上层规范不得降低本规范所设定的安全基线，仅可在基线之上增加更严格的要求。
12. 附录
附录 A：安全基线检查清单
附录 B：版本历史
| 版本 |
日期 |
变更内容 |
| 1.0.0 |
2026-06-17 |
初始规范发布，建立 Ethernos 软件安全基础框架。 |
规范制定：Ethernos Studio - Security Lab
生效日期：2026-06-17