রেড হ্যাট এবং গুগল সিগস্টোর চালু করেছে, ক্রিপ্টোগ্রাফিক কোড যাচাইকরণের জন্য একটি পরিষেবা

রেড হ্যাট এবং গুগল, পারডু ইউনিভার্সিটির সাথে একসাথে, সিগস্টোর প্রকল্পটি প্রতিষ্ঠা করেছিল, যার লক্ষ্য ছিল ডিজিটাল স্বাক্ষর ব্যবহার করে সফ্টওয়্যার যাচাই করার জন্য সরঞ্জাম এবং পরিষেবা তৈরি করা এবং সত্যতা (স্বচ্ছতা লগ) নিশ্চিত করার জন্য একটি পাবলিক লগ বজায় রাখা। অলাভজনক সংস্থা লিনাক্স ফাউন্ডেশনের পৃষ্ঠপোষকতায় প্রকল্পটি তৈরি করা হবে।

প্রস্তাবিত প্রকল্পটি সফ্টওয়্যার বিতরণ চ্যানেলগুলির সুরক্ষা উন্নত করবে এবং সফ্টওয়্যার উপাদান এবং নির্ভরতা (সাপ্লাই চেইন) প্রতিস্থাপনের লক্ষ্যে আক্রমণ থেকে রক্ষা করবে। ওপেন সোর্স সফ্টওয়্যারের প্রধান নিরাপত্তা সমস্যাগুলির মধ্যে একটি হল প্রোগ্রামের উৎস যাচাই করা এবং বিল্ড প্রক্রিয়া যাচাই করার অসুবিধা। উদাহরণ স্বরূপ, বেশিরভাগ প্রকল্পই রিলিজের অখণ্ডতা যাচাই করার জন্য হ্যাশ ব্যবহার করে, কিন্তু প্রায়শই প্রমাণীকরণের জন্য প্রয়োজনীয় তথ্য অরক্ষিত সিস্টেমে এবং শেয়ার করা কোড রিপোজিটরিতে সংরক্ষণ করা হয়, যার ফলস্বরূপ আক্রমণকারীরা যাচাইয়ের জন্য প্রয়োজনীয় ফাইলগুলির সাথে আপস করতে পারে এবং ক্ষতিকারক পরিবর্তনগুলি প্রবর্তন করতে পারে। সন্দেহ না উত্থাপন।

চাবিগুলি পরিচালনা করতে, পাবলিক কীগুলি বিতরণ করতে এবং আপস করা কীগুলি প্রত্যাহার করতে অসুবিধার কারণে রিলিজ বিতরণ করার সময় প্রকল্পগুলির একটি ছোট অংশ ডিজিটাল স্বাক্ষর ব্যবহার করে। যাচাইকরণের অর্থ বোঝার জন্য, পাবলিক কী এবং চেকসাম বিতরণের জন্য একটি নির্ভরযোগ্য এবং সুরক্ষিত প্রক্রিয়া সংগঠিত করাও প্রয়োজন। এমনকি একটি ডিজিটাল স্বাক্ষর সহ, অনেক ব্যবহারকারী যাচাইকরণ উপেক্ষা করেন কারণ তাদের যাচাইকরণ প্রক্রিয়া অধ্যয়ন করতে এবং কোন কীটি বিশ্বস্ত তা বোঝার জন্য সময় ব্যয় করতে হবে।

সিগস্টোরকে কোডের জন্য লেটস এনক্রিপ্টের সমতুল্য হিসাবে চিহ্নিত করা হয়, ডিজিটালি সাইনিং কোডের জন্য শংসাপত্র এবং স্বয়ংক্রিয় যাচাইকরণের সরঞ্জাম সরবরাহ করে। সিগস্টোরের সাথে, বিকাশকারীরা অ্যাপ্লিকেশন-সম্পর্কিত শিল্পকর্ম যেমন রিলিজ ফাইল, ধারক চিত্র, ম্যানিফেস্ট এবং এক্সিকিউটেবলগুলিতে ডিজিটালভাবে স্বাক্ষর করতে পারে। সিগস্টোরের একটি বিশেষ বৈশিষ্ট্য হ'ল স্বাক্ষর করার জন্য ব্যবহৃত উপাদানটি একটি টেম্পার-প্রুফ পাবলিক লগে প্রতিফলিত হয় যা যাচাই এবং নিরীক্ষার জন্য ব্যবহার করা যেতে পারে।

স্থায়ী কীগুলির পরিবর্তে, সিগস্টোর স্বল্পস্থায়ী ক্ষণস্থায়ী কীগুলি ব্যবহার করে, যেগুলি OpenID Connect প্রদানকারীদের দ্বারা নিশ্চিতকৃত শংসাপত্রের উপর ভিত্তি করে তৈরি করা হয় (ডিজিটাল স্বাক্ষরের জন্য কী তৈরি করার সময়, বিকাশকারী একটি ইমেলের সাথে লিঙ্কযুক্ত একটি OpenID প্রদানকারীর মাধ্যমে নিজেকে সনাক্ত করে)। কীগুলির সত্যতা একটি পাবলিক সেন্ট্রালাইজড লগ ব্যবহার করে যাচাই করা হয়, যা এটি যাচাই করা সম্ভব করে যে স্বাক্ষরটির লেখক ঠিক যাকে তিনি দাবি করেছেন এবং স্বাক্ষরটি একই অংশগ্রহণকারী দ্বারা গঠিত হয়েছিল যিনি অতীতের প্রকাশের জন্য দায়ী ছিলেন।

সিগস্টোর একটি রেডিমেড পরিষেবা যা আপনি ইতিমধ্যেই ব্যবহার করতে পারেন এবং সরঞ্জামগুলির একটি সেট যা আপনাকে আপনার নিজের সরঞ্জামগুলিতে অনুরূপ পরিষেবাগুলি স্থাপন করতে দেয় উভয়ই সরবরাহ করে। পরিষেবাটি সমস্ত বিকাশকারী এবং সফ্টওয়্যার প্রদানকারীদের জন্য বিনামূল্যে, এবং একটি নিরপেক্ষ প্ল্যাটফর্মে স্থাপন করা হয়েছে - লিনাক্স ফাউন্ডেশন৷ পরিষেবার সমস্ত উপাদান ওপেন সোর্স, Go-তে লেখা এবং Apache 2.0 লাইসেন্সের অধীনে বিতরণ করা হয়েছে।

উন্নত উপাদানগুলির মধ্যে আমরা নোট করতে পারি:

• Rekor হল ডিজিটালভাবে স্বাক্ষরিত মেটাডেটা সংরক্ষণের জন্য একটি লগ বাস্তবায়ন যা প্রকল্প সম্পর্কে তথ্য প্রতিফলিত করে। সত্যতা নিশ্চিত করতে এবং তথ্যের দুর্নীতির বিরুদ্ধে সুরক্ষার জন্য, একটি গাছের মতো কাঠামো "মার্কেল ট্রি" ব্যবহার করা হয়, যেখানে প্রতিটি শাখা সমস্ত অন্তর্নিহিত শাখা এবং নোডগুলি যাচাই করে, জয়েন্ট (গাছের মতো) হ্যাশিংয়ের জন্য ধন্যবাদ৷ চূড়ান্ত হ্যাশ থাকার ফলে, ব্যবহারকারী পুরো ক্রিয়াকলাপের ইতিহাসের সঠিকতা যাচাই করতে পারে, সেইসাথে ডাটাবেসের অতীত অবস্থার সঠিকতা যাচাই করতে পারে (ডাটাবেসের নতুন অবস্থার রুট যাচাইকরণ হ্যাশটি অতীতের অবস্থা বিবেচনা করে গণনা করা হয়। ) যাচাই এবং নতুন রেকর্ড যোগ করার জন্য, একটি Restful API প্রদান করা হয়, সেইসাথে একটি cli ইন্টারফেস।
• ফুলসিও (সিগস্টোর ওয়েবপিকেআই) হল সার্টিফিকেশন অথরিটি (রুট-সিএ) তৈরি করার জন্য একটি সিস্টেম যা OpenID কানেক্টের মাধ্যমে প্রমাণীকৃত ইমেলের উপর ভিত্তি করে স্বল্পকালীন সার্টিফিকেট ইস্যু করে। শংসাপত্রের জীবনকাল 20 মিনিট, এই সময়ে বিকাশকারীর একটি ডিজিটাল স্বাক্ষর তৈরি করার জন্য সময় থাকতে হবে (যদি শংসাপত্রটি পরে আক্রমণকারীর হাতে পড়ে তবে এটি ইতিমধ্যেই মেয়াদ শেষ হয়ে যাবে)।
• Сosign (কন্টেইনার সাইনিং) হল একটি টুলকিট যা কন্টেইনারের জন্য স্বাক্ষর তৈরি করা, স্বাক্ষর যাচাই করা এবং OCI (ওপেন কন্টেইনার ইনিশিয়েটিভ) এর সাথে সামঞ্জস্যপূর্ণ রিপোজিটরিতে স্বাক্ষরিত কন্টেইনার স্থাপন করা।

উত্স: opennet.ru