Компанията Google съобщи за формирането на първите стабилни версии на компонентите, които образуват проекта Sigstore, обявен за подходящ за създаване на работещи внедрения. Sigstore развива инструменти и услуги за верификация на софтуер чрез цифрови подписи и поддържане на публичен регистър, удостоверяващ автентичността на промените (transparent log). Проектът се развива под егидата на неправителствената организация Linux Foundation, в партньорство с компаниите Google, Red Hat, Cisco, vmWare, GitHub и HP Enterprise, с участието на организацията OpenSSF (Open Source Security Foundation) и университета Пердю.
Sigstore може да се разглежда като аналог на Let’s Encrypt за кода, предоставяйки сертификати за заверка на кода с цифрови подписи и инструменти за автоматизация на проверката. С помощта на Sigstore разработчиците ще могат да създават цифрови подписи за свързаните с приложението артефакти, като файлове с версии, контейнерни образи, манифести и изпълними файлове. Материалът, използван за подписване, се отразява в защитен от промени публичен регистър, който може да се използва за проверка и одит.
Вместо постоянни ключове, в Sigstore се използват краткоживеещи ефемерни ключове, които се генерират на базата на удостоверени права чрез доставчици на OpenID Connect (в момента на генериране на ключовете, необходими за създаване на цифров подпис, разработчикът се идентифицира чрез OpenID доставчика, свързан с имейла). Автентичността на ключовете се проверява през публичен централен регистър, който позволява да се уверите, че подписателят е именно този, за когото се представя, и подписът е създаден от същия участник, отговарял за предишни версии.
Готовността на Sigstore за внедряване е обусловена от формирането на версии на два ключови компонента — Rekor 1.0 и Fulcio 1.0, чийто интерфейси са обявени за стабилни и в бъдеще ще запазят обратно съвместимостта. Компонентите на услугата са написани на езика Go и са разпространявани под лицензия Apache 2.0.
Компонент Rekor съдържа реализация на лог за съхранение на удостоверени с цифрови подписи метаданни, отразяващи информация за проектите. За осигуряване на целостта и защита от изкривяване на данни задним числом се прилага дървовидна структура „дърво на Меркл“ (Merkle Tree), в която всеки клон верифицира всички подлежащи клони и възли благодарение на съвместно (дървовидно) хеширане. Имайки крайно хеш, потребителят може да се увери в коректността на цялата история на операциите, както и в коректността на миналите състояния на БД (кореновият проверъчен хеш на новото състояние на базата се изчислява с оглед на миналото състояние). За верификация и добавяне на нови записи се предоставя RESTful API, а също и интерфейс за команден ред.
Компонент Fulcio (SigStore WebPKI) включва система за създаване на удостоверяващи центрове (root CA), които издават краткоживеещи сертификати на базата на email, удостоверен чрез OpenID Connect. Времето за живот на сертификата е 20 минути, в които разработчикът трябва да успее да формулира цифрова подписка (ако по-късно сертификатът попада в ръцете на злонамерен потребител, той вече ще бъде изтекъл). Допълнително, проектът развива инструменти за Сosign (Container Signing), предназначени за съставяне на подписи за контейнери, проверка на подписи и разполагане на подписани контейнери в репозитории, съвместими с OCI (Open Container Initiative).
Внедряването на Sigstore позволява повишаване на сигурността на каналите за разпространение на софтуер и защита от атаки, насочени към подмяна на библиотеки и зависимости (supply chain). Една от ключовите проблеми със сигурността в отвореното ПО е сложността на проверка на източника на получаване на програмата и верификация на процеса на изграждане. Например, за проверка на целостта на релиза повечето проекти използват хешове, но често необходимата за проверка на автентичността информация се съхранява на незашитени системи и в общи репозитории с код, в резултат на компрометирането на които атакуващите могат да подменят необходимите за верификация файлове и, без да предизвикват подозрения, да внедрят злонамерени промени.
Използването на цифрови подписи за верификация на релизи все още не е широко разпространено поради сложността в управлението на ключовете, разпространението на публични ключове и отзоваването на компрометирани ключове. За да има смисъл верификацията, е необходимо да бъде организиран надежден и сигурен процес за разпространение на публични ключове и контрольни суми. Дори при наличието на цифрова подпис, много потребители пренебрегват проверката, тъй като е необходимо време да се изучи процеса на верификация и да се определи кой ключ е надежден. Проектът Sigstore се стреми да опрости и автоматизира тези процеси, предлагайки готово и проверено решение.
Източник: opennet.ru
