সিগস্টোর ক্রিপ্টোগ্রাফিক যাচাইকরণ সিস্টেম ঘোষণা করা হয়েছে

Google সিগস্টোর প্রকল্প গঠনকারী উপাদানগুলির প্রথম স্থিতিশীল রিলিজ গঠনের ঘোষণা করেছে, যা কার্যকরী বাস্তবায়ন তৈরির জন্য উপযুক্ত বলে ঘোষণা করা হয়েছে। সিগস্টোর ডিজিটাল স্বাক্ষর ব্যবহার করে সফ্টওয়্যার যাচাইকরণের জন্য সরঞ্জাম এবং পরিষেবাগুলি বিকাশ করে এবং পরিবর্তনের সত্যতা নিশ্চিত করে একটি সর্বজনীন লগ বজায় রাখে (স্বচ্ছতা লগ)। ওপেনএসএসএফ (ওপেন সোর্স সিকিউরিটি ফাউন্ডেশন) সংস্থা এবং পারডু ইউনিভার্সিটির অংশগ্রহণে গুগল, রেড হ্যাট, সিসকো, ভিএমওয়্যার, গিটহাব এবং এইচপি এন্টারপ্রাইজের অলাভজনক সংস্থা লিনাক্স ফাউন্ডেশনের পৃষ্ঠপোষকতায় প্রকল্পটি তৈরি করা হচ্ছে।

সিগস্টোরকে কোডের জন্য লেটস এনক্রিপ্ট হিসাবে ভাবা যেতে পারে, ডিজিটাল সাইন কোডের জন্য শংসাপত্র এবং স্বয়ংক্রিয় যাচাইকরণের সরঞ্জাম সরবরাহ করে। সিগস্টোরের মাধ্যমে, বিকাশকারীরা অ্যাপ্লিকেশন-সম্পর্কিত শিল্পকর্ম যেমন রিলিজ ফাইল, ধারক চিত্র, ম্যানিফেস্ট এবং এক্সিকিউটেবলগুলিতে ডিজিটালি স্বাক্ষর করতে পারে। স্বাক্ষর উপাদান একটি টেম্পার-প্রুফ পাবলিক লগে প্রতিফলিত হয় যা যাচাই এবং নিরীক্ষার জন্য ব্যবহার করা যেতে পারে।

স্থায়ী কীগুলির পরিবর্তে, সিগস্টোর স্বল্প-কালীন ক্ষণস্থায়ী কীগুলি ব্যবহার করে, যেগুলি OpenID Connect প্রদানকারীদের দ্বারা নিশ্চিতকৃত শংসাপত্রের উপর ভিত্তি করে তৈরি করা হয় (একটি ডিজিটাল স্বাক্ষর তৈরি করার জন্য প্রয়োজনীয় কীগুলি তৈরি করার সময়, বিকাশকারী একটি লিঙ্কযুক্ত OpenID প্রদানকারীর মাধ্যমে নিজেকে সনাক্ত করে। ইমেইল)। কীগুলির সত্যতা একটি সর্বজনীন কেন্দ্রীভূত লগ ব্যবহার করে যাচাই করা হয়, যা এটি যাচাই করা সম্ভব করে যে স্বাক্ষরটির লেখক ঠিক যাকে তিনি দাবি করেছেন এবং স্বাক্ষরটি একই অংশগ্রহণকারী দ্বারা তৈরি করা হয়েছিল যিনি অতীতের প্রকাশের জন্য দায়ী ছিলেন।

বাস্তবায়নের জন্য সিগস্টোরের প্রস্তুতি দুটি মূল উপাদানের রিলিজ গঠনের কারণে - Rekor 1.0 এবং Fulcio 1.0, যার সফ্টওয়্যার ইন্টারফেসগুলি স্থিতিশীল বলে ঘোষণা করা হয়েছে এবং পশ্চাদমুখী সামঞ্জস্যপূর্ণ হতে থাকবে। পরিষেবার উপাদানগুলি Go-তে লেখা এবং Apache 2.0 লাইসেন্সের অধীনে বিতরণ করা হয়েছে।

Rekor উপাদানে ডিজিটালভাবে স্বাক্ষরিত মেটাডেটা সংরক্ষণের জন্য একটি লগ বাস্তবায়ন রয়েছে যা প্রকল্প সম্পর্কে তথ্য প্রতিফলিত করে। সত্যতা নিশ্চিত করতে এবং তথ্যের দুর্নীতির বিরুদ্ধে সুরক্ষার জন্য, একটি মার্কেল ট্রি ট্রি কাঠামো ব্যবহার করা হয়, যেখানে প্রতিটি শাখা জয়েন্ট (ট্রি) হ্যাশিংয়ের মাধ্যমে সমস্ত অন্তর্নিহিত শাখা এবং নোডগুলি যাচাই করে। চূড়ান্ত হ্যাশ থাকার ফলে, ব্যবহারকারী অপারেশনের পুরো ইতিহাসের সঠিকতা যাচাই করতে পারে, সেইসাথে ডাটাবেসের অতীত অবস্থার সঠিকতা যাচাই করতে পারে (ডাটাবেসের নতুন অবস্থার রুট যাচাইকরণ হ্যাশটি অতীতের অবস্থা বিবেচনা করে গণনা করা হয়। ) একটি RESTful API যাচাইকরণ এবং নতুন রেকর্ড যোগ করার পাশাপাশি একটি কমান্ড লাইন ইন্টারফেস প্রদান করা হয়।

ফুলসিও কম্পোনেন্ট (SigStore WebPKI) সার্টিফিকেশন অথরিটি (রুট CAs) তৈরি করার জন্য একটি সিস্টেম অন্তর্ভুক্ত করে যা OpenID কানেক্টের মাধ্যমে প্রমাণীকৃত ইমেলের উপর ভিত্তি করে স্বল্পকালীন সার্টিফিকেট ইস্যু করে। শংসাপত্রের জীবনকাল 20 মিনিট, এই সময়ে বিকাশকারীর একটি ডিজিটাল স্বাক্ষর তৈরি করার জন্য সময় থাকতে হবে (যদি শংসাপত্রটি পরে আক্রমণকারীর হাতে পড়ে তবে এটি ইতিমধ্যেই মেয়াদ শেষ হয়ে যাবে)। অতিরিক্তভাবে, প্রকল্পটি Cosign (কন্টেইনার সাইনিং) টুলকিট তৈরি করছে, যা কন্টেইনারগুলির জন্য স্বাক্ষর তৈরি করতে, স্বাক্ষর যাচাই করতে এবং OCI (ওপেন কন্টেইনার ইনিশিয়েটিভ) এর সাথে সামঞ্জস্যপূর্ণ সংগ্রহস্থলে স্বাক্ষরিত কন্টেইনার স্থাপন করতে ডিজাইন করা হয়েছে।

সিগস্টোরের বাস্তবায়ন প্রোগ্রাম বিতরণ চ্যানেলগুলির নিরাপত্তা বৃদ্ধি এবং লাইব্রেরি এবং নির্ভরতা (সাপ্লাই চেইন) প্রতিস্থাপনের লক্ষ্যে আক্রমণ থেকে রক্ষা করা সম্ভব করে তোলে। ওপেন সোর্স সফ্টওয়্যারের প্রধান নিরাপত্তা সমস্যাগুলির মধ্যে একটি হল প্রোগ্রামের উৎস যাচাই করা এবং বিল্ড প্রক্রিয়া যাচাই করার অসুবিধা। উদাহরণ স্বরূপ, বেশিরভাগ প্রকল্পই রিলিজের অখণ্ডতা যাচাই করার জন্য হ্যাশ ব্যবহার করে, কিন্তু প্রায়শই প্রমাণীকরণের জন্য প্রয়োজনীয় তথ্য অরক্ষিত সিস্টেমে এবং শেয়ার করা কোড রিপোজিটরিতে সংরক্ষণ করা হয়, যার ফলস্বরূপ আক্রমণকারীরা যাচাইয়ের জন্য প্রয়োজনীয় ফাইলগুলির সাথে আপস করতে পারে এবং ক্ষতিকারক পরিবর্তনগুলি প্রবর্তন করতে পারে। সন্দেহ না উত্থাপন।

রিলিজ যাচাইকরণের জন্য ডিজিটাল স্বাক্ষরের ব্যবহার কীগুলি পরিচালনা, সর্বজনীন কী বিতরণ এবং আপসকৃত কীগুলি প্রত্যাহার করার অসুবিধার কারণে এখনও ব্যাপক হয়ে ওঠেনি। যাচাইকরণের অর্থ বোঝার জন্য, পাবলিক কী এবং চেকসাম বিতরণের জন্য একটি নির্ভরযোগ্য এবং নিরাপদ প্রক্রিয়া সংগঠিত করা অতিরিক্ত প্রয়োজন। এমনকি একটি ডিজিটাল স্বাক্ষর সহ, অনেক ব্যবহারকারী যাচাইকরণ উপেক্ষা করেন কারণ তাদের যাচাইকরণ প্রক্রিয়া শিখতে এবং কোন কীটি বিশ্বস্ত তা বোঝার জন্য সময় ব্যয় করতে হবে। সিগস্টোর প্রজেক্ট একটি রেডিমেড এবং প্রমাণিত সমাধান প্রদান করে এই প্রক্রিয়াগুলিকে সহজ এবং স্বয়ংক্রিয় করার চেষ্টা করে।

উত্স: opennet.ru