Red Hat и Google представиха Sigstore, услуга за проверка на криптографски код

Red Hat и Google, заедно с университета Purdue, основаха проекта Sigstore, насочен към създаване на инструменти и услуги за проверка на софтуер с помощта на цифрови подписи и поддържане на публичен дневник за потвърждаване на автентичността (дневник за прозрачност). Проектът ще бъде разработен под егидата на организацията с нестопанска цел Linux Foundation.

Предложеният проект ще подобри сигурността на каналите за разпространение на софтуер и защита срещу атаки, насочени към подмяна на софтуерни компоненти и зависимости (верига на доставки). Един от ключовите проблеми със сигурността в софтуера с отворен код е трудността при проверка на източника на програмата и проверка на процеса на изграждане. Например, повечето проекти използват хешове, за да проверят целостта на издание, но често информацията, необходима за удостоверяване, се съхранява на незащитени системи и в споделени хранилища на код, в резултат на което нападателите могат да компрометират необходимите за проверка файлове и да въведат злонамерени промени без да предизвиква подозрение.

Само малка част от проектите използват цифрови подписи при разпространение на версии поради трудностите при управлението на ключове, разпространението на публични ключове и отмяната на компрометирани ключове. За да има смисъл проверката, е необходимо също така да се организира надежден и сигурен процес за разпространение на публични ключове и контролни суми. Дори и с цифров подпис, много потребители пренебрегват проверката, защото трябва да отделят време за изучаване на процеса на проверка и да разберат кой ключ е надежден.

Sigstore се рекламира като еквивалент на Let's Encrypt за код, предоставяйки сертификати за цифрово подписване на код и инструменти за автоматизирана проверка. Със Sigstore разработчиците могат цифрово да подписват артефакти, свързани с приложения, като файлове за освобождаване, изображения на контейнери, манифести и изпълними файлове. Специална характеристика на Sigstore е, че материалът, използван за подписване, се отразява в защитен от подправяне публичен дневник, който може да се използва за проверка и одит.

Вместо постоянни ключове, Sigstore използва краткотрайни ефимерни ключове, които се генерират въз основа на идентификационни данни, потвърдени от доставчиците на OpenID Connect (по време на генериране на ключове за цифров подпис, разработчикът се идентифицира чрез доставчик на OpenID, свързан с имейл). Автентичността на ключовете се проверява с помощта на публичен централизиран дневник, което дава възможност да се провери, че авторът на подписа е точно този, за когото се представя, и подписът е съставен от същия участник, който е бил отговорен за предишни версии.

Sigstore предоставя както готова услуга, която вече можете да използвате, така и набор от инструменти, които ви позволяват да разположите подобни услуги на вашето собствено оборудване. Услугата е безплатна за всички разработчици и доставчици на софтуер и е внедрена на неутрална платформа - Linux Foundation. Всички компоненти на услугата са с отворен код, написани са на Go и се разпространяват под лиценза Apache 2.0.

Сред разработените компоненти можем да отбележим:

• Rekor е реализация на журнал за съхраняване на цифрово подписани метаданни, отразяващи информация за проекти. За да се осигури интегритет и защита срещу повреда на данните след факта, се използва дървовидна структура „Merkle Tree“, в която всеки клон проверява всички подлежащи клонове и възли, благодарение на съвместно (дървоподобно) хеширане. Имайки окончателния хеш, потребителят може да провери правилността на цялата история на операциите, както и коректността на миналите състояния на базата данни (хешът за проверка на корена на новото състояние на базата данни се изчислява, като се вземе предвид миналото състояние ). За проверка и добавяне на нови записи е осигурен Restful API, както и cli интерфейс.
• Fulcio (SigStore WebPKI) е система за създаване на сертифициращи органи (Root-CA), които издават краткотрайни сертификати въз основа на имейл, удостоверен чрез OpenID Connect. Животът на сертификата е 20 минути, през които разработчикът трябва да има време да генерира цифров подпис (ако сертификатът по-късно попадне в ръцете на нападател, той вече ще бъде изтекъл).
• Сosign (Container Signing) е инструментариум за генериране на подписи за контейнери, проверка на подписи и поставяне на подписани контейнери в хранилища, съвместими с OCI (Open Container Initiative).

Източник: opennet.ru