GitHub har fremlagt et forslag til implementering af Sigstore-tjenesten til verifikation af pakker gennem digitale signaturer og vedligeholdelse af en offentlig log for at bekræfte ægtheden under distributionen af udgivelser. Anvendelsen af Sigstore vil give et ekstra niveau af beskyttelse mod angreb rettet mod udskiftning af softwarekomponenter og afhængigheder (supply chain). For eksempel vil den foreslåede ændring beskytte kildekoderne til projekterne i tilfælde af, at en udviklers konto i en af afhængighederne i NPM bliver kompromitteret, hvilket kan medføre, at en angriber laver en opdatering af pakken med ondsindet kode.
Med det nye beskyttelsesniveau kan udviklere knytte den genererede pakke til den anvendte kildekode og byggemiljø, hvilket giver brugeren mulighed for at sikre, at indholdet af pakken stemmer overens med indholdet af kildekoderne i det primære projektrepository. Anvendelsen af Sigstore forenkler betydeligt processen for nøglehåndtering og frigør udviklere fra kompleksitet omkring registrering, tilbagetrækning og administration af kryptografiske nøgler. Sigstore præsenteres som et tilsvarende alternativ til Let’s Encrypt for kode, der tilbyder certifikater til at sikre koden med digitale signaturer samt værktøjer til automatisering af verifikationen.
I stedet for permanente nøgler anvender Sigstore kortvarige, ephemeral nøgler, der genereres baseret på beføjelser. Det materiale, der anvendes til signering, afspejles i en beskyttet offentlig log, der forhindrer ændringer, hvilket gør det muligt at bekræfte, at signaturens forfatter faktisk er den, han udgiver sig for at være, og at signaturen er blevet genereret af den samme deltager, som var ansvarlig for tidligere udgivelser. For at sikre integriteten og beskytte mod ændring af data i fortiden anvendes en trælignende struktur kaldet et Merkle-træ, hvor hver gren verificerer alle underliggende grene og knudepunkter gennem fælles (trælignende) hashing. Med en endelig hash kan brugeren bekræfte korrektheden af hele historien af operationer samt korrektheden af tidligere tilstande i databasen (den rodhash, der verificerer den nye tilstand af databasen, beregnes med hensyntagen til den tidligere tilstand).
Kilde: opennet.ru
