Οι επιθέσεις σύγχυσης εξαρτήσεων αξιοποιούν ένα δομικό κενό στην διανομή λογισμικού: μόλις ένα πακέτο εγκατασταθεί, ελλείπει κρυπτογραφική απόδειξη για το μητρώο που το διένειμε. Κάθε υφιστάμενη άμυνα βασίζεται σε διαμόρφωση και παρουσιάζει σιωπηρή αποτυχία λόγω εσφαλμένης ρύθμισης. Παρουσιάζεται ένα κρυπτογραφικό σύστημα προέλευσης διανομής, το οποίο περιλαμβάνει τρία βασικά στοιχεία:
- Πρώτον, την κρυπτογραφική ταυτότητα μητρώου, όπου κάθε μητρώο διαθέτει ζεύγος κλειδιών Ed25519 και υπογράφει κάθε τεχνούργημα που διανέμει.
- Δεύτερον, ένα μοντέλο διπλής υπογραφής, όπου ο εκδότης υπογράφει κατά τη φάση συσκευασίας και το μητρώο προσυπογράφει κατά τη φάση δημοσίευσης.
- Τρίτον, την δεσμευτική σύνδεση εξουσιοδοτημένου χώρου ονομάτων, όπου οι χρήστες καθορίζουν τα αποτυπώματα των μητρώων και ο επιλυτής απορρίπτει κρυπτογραφικά τεχνουργήματα από μη εξουσιοδοτημένα μητρώα.
Αυτά τα στοιχεία δημιουργούν τρία επίπεδα άμυνας, τα οποία απαιτούν ταυτόχρονη παραβίαση για την επιτυχή εκδήλωση επίθεσης. Από τη σύγκριση οκτώ οικοσυστημάτων (npm, Cargo, Hex.pm, PyPI, Go modules, Docker/OCI, NuGet, Maven) προκύπτει ότι κανένα από τα υφιστάμενα δεν συνδυάζει υποχρεωτική υπογραφή εκδότη, κρυπτογραφική ταυτότητα μητρώου, υποχρεωτική προσυπογραφή μητρώου και κρυπτογραφική επιβολή από την πλευρά του καταναλωτή. Το σύστημα επεκτείνεται στην προέλευση παραγωγής τεχνητής νοημοσύνης ως υπογεγραμμένο χαρακτηριστικό, καθώς και στην επίλυση εξαρτήσεων που επιβάλλεται μέσω διακυβέρνησης. Μια μελέτη περίπτωσης ενσωματώνει την προέλευση διανομής με μια αρχιτεκτονική διακυβέρνησης χρόνου εκτέλεσης τριών επιπέδων, διαμορφώνοντας μια αλυσίδα κύκλου ζωής τεσσάρων φάσεων χωρίς κρυπτογραφικά κενά.
