Обявена е готовността на системата за криптографска верификация на кода Sigstore

Компания Google обяви за формирането на първите стабилни версии на компонентите, които съставляват проекта Sigstore, който е обявен за подходящ за създаване на работни внедрения. Sigstore развива инструменти и услуги за верификация на софтуер с помощта на цифрови подписи и поддържане на публичен журнал, удостоверяващ автентичността на промените (transparency log). Проектът се развива под егидата на неправителствената организация Linux Foundation в партньорство с компании като Google, Red Hat, Cisco, vmWare, GitHub и HP Enterprise, с участието на организацията OpenSSF (Open Source Security Foundation) и Университета Пердю.

Sigstore можно рассматривать как аналог Let’s Encrypt для кода, предоставляющий сертификаты для заверения кода цифровыми подписями и инструментарий для автоматизации проверки. При помощи Sigstore разработчики смогут формировать цифровые подписи для связанных с приложением артефактов, таких как файлы с релизами, образы контейнеров, манифесты и исполняемые файлы. Используемый для подписи материал отражается в защищённом от внесения изменений публичном логе, который можно использовать для проверки и аудита.

Вместо постоянни ключове в Sigstore се използват краткоживеещи ефермерни ключове, които се генерират на база на пълномощия, потвърдени от доставчици на OpenID Connect (по време на генерирането на ключовете, необходими за създаване на цифрова подпис, разработчикът се идентифицира чрез доставчика на OpenID, свързан с имейл адрес). Автентичността на ключовете се проверява чрез публичен централен журнал, който позволява да се убеждава, че авторът на подписа е именно този, за когото се представя, и подписът е съставен от същия участник, отговарял за предишните релизи.

Готовность Sigstore к внедрению обусловлена формированием релизов двух ключевых компонентов — Rekor 1.0 и Fulcio 1.0, программные интерфейсы которых объявлены стабильными и впредь сохраняющими обратную совместимость. Компоненты сервиса написаны на языке Go и распространяются под лицензией Apache 2.0.

Компонент Rekor содержит реализацию лога для хранения заверенных цифровыми подписями метаданных, отражающих информацию о проектах. Для обеспечения целостности и защиты от искажения данных задним числом применяется древовидная структура «дерево Меркла» (Merkle Tree), в которой каждая ветка верифицирует все нижележащие ветки и узлы благодаря совместному (древовидному) хешированию. Имея конечный хеш, пользователь может удостовериться в корректности всей истории операций, а также в корректности прошлых состояний БД (корневой проверочный хеш нового состояния базы вычисляется с учётом прошлого состояния). Для верификации и добавления новых записей предоставляется RESTful API, а также интерфейс командной строки.

Компонент Fulcio (SigStore WebPKI) включва система за създаване на удостоверяващи центрове (root CA), издаващи краткоживеещи сертификати на базата на имейл, аутентифициран чрез OpenID Connect. Животът на сертификата е 20 минути, в които разработчикът трябва да успее да формира цифрова подпись (ако сертификатът по-късно се озове в ръцете на злонамерен, той вече ще бъде изтекъл). Допълнително, проектът развива инструменты Сosign (Container Signing), предназначени за формиране на подписи за контейнери, проверка на подписи и разполагане на подписани контейнери в хранилища, съвместими с OCI (Open Container Initiative).

Внедряването на Sigstore предлага възможност за повишаване на сигурността на каналите за разпространение на софтуер и защита от атаки, насочени към подмяна на библиотеки и зависимости (supply chain). Една от ключовите проблеми със сигурността в отворения софтуер е сложността на проверка на източника на получаването на програмата и верификация на процеса на компилиране. Например, за проверка на целостта на релиза повечето проекти използват хешове, но често необходимата информация за проверка на автентичността се съхранява на незапомнени системи и в публични хранилища с код, резултатът от компрометация може да позволи на атакуващите да подменят необходимите за верификация файлове и, без да будят подозрения, да внедрят злонамерени промени.

Приложението на цифровите подписи за верифициране на версии все още не е получило широко разпространение поради сложностите в управлението на ключовете, разпространението на публичните ключове и отзоваването на компрометирани ключове. За да има смисъл верификацията, е необходимо допълнително да се организира надежден и безопасен процес на разпространение на публичните ключове и контролни суми. Дори когато има цифрова подпис, много потребители игнорират проверката, тъй като е необходимо време за изучаване на процеса на верификация и разбиране на това кой ключ заслужава доверие. Проектът Sigstore се стреми да опрости и автоматизира тези процеси, предоставяйки готово и проверено решение.

Източник: opennet.ru