{"id":104805,"date":"2022-08-09T15:37:11","date_gmt":"2022-08-09T13:37:11","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-npm-planiruyut-ispolzovat-sigstore-dlya-podtverzhdeniya-podlinnosti-paketov"},"modified":"2022-08-09T15:37:11","modified_gmt":"2022-08-09T13:37:11","slug":"v-npm-planiruyut-ispolzovat-sigstore-dlya-podtverzhdeniya-podlinnosti-paketov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/v-npm-planiruyut-ispolzovat-sigstore-dlya-podtverzhdeniya-podlinnosti-paketov","title":{"rendered":"NPM planl\u00e6gger at bruge Sigstore til at bekr\u00e6fte pakker","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
GitHub har fremlagt et forslag til implementering af Sigstore-tjenesten til verifikation af pakker gennem digitale signaturer og vedligeholdelse af en offentlig log for at bekr\u00e6fte \u00e6gtheden under distributionen af udgivelser. Anvendelsen af Sigstore vil give et ekstra niveau af beskyttelse mod angreb rettet mod udskiftning af softwarekomponenter og afh\u00e6ngigheder (supply chain). For eksempel vil den foresl\u00e5ede \u00e6ndring beskytte kildekoderne til projekterne i tilf\u00e6lde af, at en udviklers konto i en af afh\u00e6ngighederne i NPM bliver kompromitteret, hvilket kan medf\u00f8re, at en angriber laver en opdatering af pakken med ondsindet kode. <\/p>\n
Takket v\u00e6re det nye beskyttelsesniveau kan udviklerne knytte den dannede pakke til den anvendte kildekode og build-milj\u00f8et, hvilket giver brugeren mulighed for at sikre, at indholdet af pakken stemmer overens med indholdet af kildefilerne i hovedrepoet for projektet. Anvendelsen af Sigstore forenkler betydeligt processen med n\u00f8gleh\u00e5ndtering og g\u00f8r det muligt at undg\u00e5 de komplikationer, der er forbundet med registrering, tilbagekaldelse og administration af kryptografiske n\u00f8gler. Sigstore pr\u00e6senteres som en pendant til Let's Encrypt for kode, der tilbyder certifikater til bekr\u00e6ftelse af kode med digitale signaturer og v\u00e6rkt\u00f8jer til automatisering af verifikation. <\/p>\n
I stedet for permanente n\u00f8gler anvender Sigstore kortvarige, ephemeral n\u00f8gler, der genereres baseret p\u00e5 bef\u00f8jelser. Det materiale, der anvendes til signatur, afspejles i en uforanderlig offentlig log, som g\u00f8r det muligt at sikre, at underskriveren faktisk er den, de udgiver sig for at v\u00e6re, og at signaturen er blevet oprettet af den samme akt\u00f8r, der har v\u00e6ret ansvarlig for tidligere udgivelser. For at sikre integriteten og beskytte mod datamanipulation i eftertid anvendes en tr\u00e6sstruktureret 'Merkle Tree', hvor hver gren verificerer alle underliggende grene og noder gennem f\u00e6lles (tr\u00e6s) hashing. Ved at have en endelig hash kan brugeren bekr\u00e6fte korrektheden af hele transaktionshistorikken samt korrektheden af tidligere tilstande i databasen (den rod hash for den nye tilstand af databasen beregnes med hensyn til den tidligere tilstand). \n Kilde: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"