Společnosti Red Hat a Google ve spolupráci s Purdue University založily projekt Sigstore, jehož cílem je vytvořit nástroje a služby pro ověřování softwaru pomocí digitálních podpisů a vedení veřejného logu pro potvrzení autenticity (transparency log). Projekt bude pokračovat pod záštitou neziskové organizace Linux Foundation.
Navrhovaný projekt umožní zvýšení bezpečnosti distribučních kanálů softwaru a ochranu před útoky zaměřenými na nahrazení softwarových komponentů a závislostí (supply chain). Jedním z hlavních problémů zabezpečení v otevřeném softwaru je složitost ověření zdroje získání programu a verifikace procesu sestavení. Například pro kontrolu integrity vydání většina projektů používá hash, ale často potřebné informace pro ověření autenticity jsou uloženy na nezabezpečených systémech a v veřejných repozitářích kódu, což může vést k tomu, že útočníci mohou nahradit potřebné soubory pro verifikaci a bez podezření zavést škodlivé změny.
Pouze nepatrná část projektů využívá digitální podpisy při distribuci vydání kvůli obtížím v správě klíčů, distribuci veřejných klíčů a odvolání kompromitovaných klíčů. Aby mělo ověřování smysl, je také nutné zorganizovat spolehlivý a bezpečný proces distribuce veřejných klíčů a kontrolních součtů. I když je k dispozici digitální podpis, mnoho uživatelů ignoruje ověřování, protože je třeba strávit čas studiem ověřovacího procesu a pochopením, který klíč si zaslouží důvěru.
Sigstore je prezentován jako analog Let’s Encrypt pro kód, poskytující certifikáty pro potvrzení kódu digitálními podpisy a nástroje pro automatizaci ověřování. Pomocí Sigstore budou vývojáři moci vytvářet digitální podpisy pro artefakty související s aplikací, jako jsou soubory s vydáními, kontejnery, manifikace a spustitelné soubory. Specifikem Sigstore je, že materiál používaný pro podepisování je zaznamenán v zabezpečeném veřejném logu, který lze použít pro ověřování a audit.
Místo stálých klíčů se v Sigstore používají krátkodobé efemérní klíče, které jsou generovány na základě oprávnění potvrzených poskytovateli OpenID Connect (v době generování klíčů pro digitální podpis se vývojář identifikuje prostřednictvím poskytovatele OpenID spojeného s e-mailem). Autenticita klíčů se ověřuje pomocí veřejného centralizovaného logu, který umožňuje ujistit se, že autor podpisu je skutečně tím, za koho se vydává, a že podpis byl vytvořen tímto účastníkem, který byl odpovědný za minulé verze.
Sigstore nabízí jak již připravenou službu, kterou lze používat, tak sadu nástrojů, které umožňují nasazení podobných služeb na vlastním vybavení. Služba je zdarma pro všechny vývojáře a dodavatele softwaru a je nasazena na neutrální platformě – Linux Foundation. Všechny komponenty služby jsou otevřené, napsané v jazyce Go a šířeny pod licencí Apache 2.0.
Mezi vyvíjené komponenty lze zmínit:
- Rekor — implementace logu pro uchovávání certifikovaných metadat digitálními podpisy, která odráží informace o projektech. Pro zajištění integrity a ochranu před pozměněním dat zpětně se používá stromová struktura „Merkleho strom“ (Merkle Tree), v níž každá větev ověřuje všechny podřízené větve a uzly díky společnému (stromovému) hashování. Mít konečný hash, může uživatel potvrdit správnost celé historie operací, stejně jako správnost minulých stavů databáze (kořenový kontrolní hash nového stavu databáze se počítá s ohledem na minulý stav). Pro ověřování a přidávání nových záznamů je k dispozici Restful API a také cli rozhraní.
- Fulcio (SigStore WebPKI) — systém pro vytváření certifikačních autorit (Root-CA), které vydávají krátkodobé certifikáty na základě e-mailu, autentizovaného prostřednictvím OpenID Connect. Doba platnosti certifikátu je 20 minut, za které by měl vývojář stihnout vytvořit digitální podpis (pokud se certifikát dostane do rukou útočníka, již bude neplatný).
- Cosign (Container Signing) — nástroj pro vytváření podpisů k kontejnerům, kontrolu podpisů a umisťování podepsaných kontejnerů do repozitářů kompatibilních s OCI (Open Container Initiative).
Zdroj: opennet.ru
