GitHub vyhlásil návrh na zavedení služby Sigstore pro ověřování balíčků pomocí digitálních podpisů a vedení veřejného logu pro potvrzení pravosti při distribuci verzí. Aplikace Sigstore umožní realizovat další úroveň ochrany proti útokům zaměřeným na podvržení softwarových komponent a závislostí (supply chain). Například implementované změny ochrání zdrojové kódy projektů v případě kompromitace účtu vývojáře některé z závislostí v NPM a vytvoření aktualizace balíčku s nebezpečným kódem útočníkem.
Díky nové úrovni ochrany budou vývojáři schopni propojit vytvořený balíček s použitým zdrojovým kódem a prostředím pro sestavení, což uživatelům umožní ověřit, že obsah balíčku odpovídá obsahu zdrojových kódů v hlavním repozitáři projektu. Použití Sigstore zásadně zjednodušuje proces správy klíčů a umožňuje zbavit se potíží spojených s registrací, odvoláním a správou kryptografických klíčů. Sigstore je prezentován jako ekvivalent Let’s Encrypt pro kód, který poskytuje certifikáty pro ověřování kódu digitálními podpisy a nástroje pro automatizaci ověřování.
Místo stálých klíčů používá Sigstore krátkodobé ephemerální klíče, které jsou generovány na základě oprávnění. Materiál používaný k podpisu je odražen v chráněném veřejném logu, který neumožňuje změny a umožňuje ujistit se, že autor podpisu je skutečně tím, za koho se vydává, a že podpis byl vytvořen tím samým účastníkem, který byl odpovědný za předchozí verze. Pro zajištění integrity a ochrany proti pozměnění dat zpětně se používá stromová struktura „Merkle Tree“, ve které každá větev ověřuje všechny podřízené větve a uzly díky společnému (stromovému) hashování. Mít konečný hash, uživatel může ověřit správnost celé historie operací a také správnost předchozích stavů databáze (kořenový kontrolní hash nového stavu databáze se vypočítá s ohledem na předchozí stav).
Zdroj: opennet.ru
