Google har meddelt, at de f\u00f8rste stabile versioner af komponenterne, der danner projektet Sigstore, er udgivet og klar til implementering. Sigstore udvikler v\u00e6rkt\u00f8jer og tjenester til verificering af software ved hj\u00e6lp af digitale signaturer og opretholdelse af en offentlig log, der bekr\u00e6fter \u00e6gtheden af \u00e6ndringer (transparency log). Projektet udvikles under ledelse af den ikke-kommercielle organisation Linux Foundation i samarbejde med virksomheder som Google, Red Hat, Cisco, vmWare, GitHub og HP Enterprise samt organisationen OpenSSF (Open Source Security Foundation) og Purdue University. <\/p>\n
Sigstore kan betragtes som et alternativ til Let’s Encrypt for kode, der tilbyder certifikater til at bekr\u00e6fte kode med digitale signaturer samt v\u00e6rkt\u00f8jer til automatisering af verificering. Med Sigstore vil udviklere kunne oprette digitale signaturer for applikationsrelaterede artefakter som release-filer, containerbilleder, manifests og eksekverbare filer. Materialet, der bruges til signaturen, afspejles i en uforanderlig offentlig log, som kan anvendes til verificering og revision. <\/p>\n
I stedet for permanente n\u00f8gler bruger Sigstore kortlevende ephemeral n\u00f8gler, der genereres baseret p\u00e5 bef\u00f8jelser bekr\u00e6ftet af OpenID Connect-udbydere (ved generering af de n\u00f8gler, der er n\u00f8dvendige for at oprette en digital signatur, identificerer udvikleren sig gennem en OpenID-udbyder i forbindelse med sin email). \u00c6gtheden af n\u00f8glerne verificeres gennem en offentlig centraliseret log, som g\u00f8r det muligt at sikre, at underskriveren faktisk er den person, de udgiver sig for at v\u00e6re, og at signaturen er fremstillet af den samme deltagende person, som var ansvarlig for tidligere udgivelser. <\/p>\n
Klarheden af Sigstore til implementering skyldes udviklingen af release af to n\u00f8glekomponenter \u2014 Rekor 1.0 og Fulcio 1.0, hvis API'er er erkl\u00e6ret stabile og fortsat bevarer bagudkompatibilitet. Servicekomponenterne er skrevet i Go-sproget og distribueres under Apache 2.0-licensen. <\/p>\n
Komponenten Rekor indeholder implementeringen af en log til opbevaring af bekr\u00e6ftede digitale signaturmetadata, der afspejler oplysninger om projekter. For at sikre integriteten og beskytte mod \u00e6ndringer af data bagud anvendes en tr\u00e6struktur kaldet 'Merkle-tr\u00e6', hvor hver gren verificerer alle underliggende grene og noder gennem f\u00e6lles (tr\u00e6s) hashing. Med en endelig hash kan brugeren bekr\u00e6fte n\u00f8jagtigheden af hele operationens historie samt korrektheden af tidligere database-situationer (den rodhash, der verificerer den nye tilstand af databasen, beregnes under hensyntagen til den tidligere tilstand). For verifikation og tilf\u00f8jelse af nye poster er der et RESTful API samt en kommandolinjegr\u00e6nseflade. <\/p>\n
Fulcio-komponenten (SigStore WebPKI) inkluderer et system til oprettelse af certifikatmyndigheder (root CA), der udsteder kortvarige certifikater baseret p\u00e5 email, autentificeret via OpenID Connect. Certifikatets levetid er 20 minutter, i l\u00f8bet af hvilke udvikleren skal v\u00e6re i stand til at danne en digital signatur (hvis certifikatet senere falder i h\u00e6nderne p\u00e5 en angriber, vil det allerede v\u00e6re udl\u00f8bet). Derudover udvikles v\u00e6rkt\u00f8jet Cosign (Container Signing), som er beregnet til at generere signaturer til containere, kontrollere disse signaturer og placere de signerede containere i OCI-kompatible registre (Open Container Initiative). <\/p>\n
Implementeringen af Sigstore muligg\u00f8r at \u00f8ge sikkerheden i distributionskanalerne for software og beskytte mod angreb, der sigter mod at forfalske biblioteker og afh\u00e6ngigheder (supply chain). Et af de centrale sikkerhedsproblemer i open source-software er kompleksiteten ved at verificere kilden til softwaren og verifikationen af byggeprocessen. For eksempel anvender de fleste projekter hashes til at kontrollere integriteten af en udgivelse, men ofte opbevares de oplysninger, der er n\u00f8dvendige for at verificere \u00e6gtheden, p\u00e5 usikre systemer og i f\u00e6lles kodebiblioteker, hvor kompromittering kan give angribere mulighed for at \u00e6ndre de n\u00f8dvendige verifikationsfiler og uden at v\u00e6kke mistanke implementere skadelige \u00e6ndringer. <\/p>\n
Anvendelsen af digitale signaturer til verifikation af udgivelser har endnu ikke f\u00e5et en bred udbredelse p\u00e5 grund af vanskelighederne med n\u00f8gleh\u00e5ndtering, distribution af offentlige n\u00f8gler og tilbagetr\u00e6kning af kompromitterede n\u00f8gler. For at verifikationen giver mening, kr\u00e6ves der desuden en p\u00e5lidelig og sikker proces for distribution af offentlige n\u00f8gler og kontrolsummer. Selvom der er en digital signatur, ignorerer mange brugere stadig verificeringen, da det kr\u00e6ver tid at l\u00e6re verifikationsprocessen at kende og forst\u00e5, hvilken n\u00f8gle der er p\u00e5lidelig. Projektet Sigstore fors\u00f8ger at forenkle og automatisere disse processer ved at tilbyde en f\u00e6rdiglavet og verificeret l\u00f8sning. \u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Google \u0441\u043e\u043e\u0431\u0449\u0438\u043b\u0430 \u043e \u0444\u043e\u0440\u043c\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0438 \u043f\u0435\u0440\u0432\u044b\u0445 \u0441\u0442\u0430\u0431\u0438\u043b\u044c\u043d\u044b\u0445 \u0432\u044b\u043f\u0443\u0441\u043a\u043e\u0432 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u043e\u0432, \u043e\u0431\u0440\u0430\u0437\u0443\u044e\u0449\u0438\u0445 \u043f\u0440\u043e\u0435\u043a\u0442 Sigstore, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043e\u0431\u044a\u044f\u0432\u043b\u0435\u043d \u043f\u0440\u0438\u0433\u043e\u0434\u043d\u044b\u043c \u0434\u043b\u044f \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f \u0440\u0430\u0431\u043e\u0447\u0438\u0445 \u0432\u043d\u0435\u0434\u0440\u0435\u043d\u0438\u0439. Sigstore \u0440\u0430\u0437\u0432\u0438\u0432\u0430\u0435\u0442 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u044b \u0438 \u0441\u0435\u0440\u0432\u0438\u0441\u044b \u0434\u043b\u044f \u0432\u0435\u0440\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u043d\u043e\u0433\u043e \u043e\u0431\u0435\u0441\u043f\u0435\u0447\u0435\u043d\u0438\u044f \u043f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 \u0446\u0438\u0444\u0440\u043e\u0432\u044b\u0445 \u043f\u043e\u0434\u043f\u0438\u0441\u0435\u0439 \u0438 \u0432\u0435\u0434\u0435\u043d\u0438\u044f \u043f\u0443\u0431\u043b\u0438\u0447\u043d\u043e\u0433\u043e \u043b\u043e\u0433\u0430, \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0436\u0434\u0430\u044e\u0449\u0435\u0433\u043e \u043f\u043e\u0434\u043b\u0438\u043d\u043d\u043e\u0441\u0442\u044c \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u0439 (transparency log). \u041f\u0440\u043e\u0435\u043a\u0442 \u0440\u0430\u0437\u0432\u0438\u0432\u0430\u0435\u0442\u0441\u044f \u043f\u043e\u0434 \u044d\u0433\u0438\u0434\u043e\u0439 \u043d\u0435\u043a\u043e\u043c\u043c\u0435\u0440\u0447\u0435\u0441\u043a\u043e\u0439 \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u0430\u0446\u0438\u0438 Linux Foundation \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u044f\u043c\u0438 Google, Red Hat, Cisco, vmWare, […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-105382","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Systemet til kryptografisk verifikation af kode Sigstore er klar | ProHoster","description":"Google har meddelet dannelsen af de f\u00f8rste stabile versioner af de komponenter, der udg\u00f8r Sigstore-projektet, som er blevet erkl\u00e6ret egnet til at skabe operationelle implementeringer.","canonical_url":"https:\/\/prohoster.info\/da\/blog\/news\/obyavleno-o-gotovnosti-sistemy-kriptograficheskoj-verifikaczii-koda-sigstore","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"da_DK","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041e\u0431\u044a\u044f\u0432\u043b\u0435\u043d\u043e \u043e \u0433\u043e\u0442\u043e\u0432\u043d\u043e\u0441\u0442\u0438 \u0441\u0438\u0441\u0442\u0435\u043c\u044b \u043a\u0440\u0438\u043f\u0442\u043e\u0433\u0440\u0430\u0444\u0438\u0447\u0435\u0441\u043a\u043e\u0439 \u0432\u0435\u0440\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u043a\u043e\u0434\u0430 Sigstore | ProHoster","og:description":"\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Google \u0441\u043e\u043e\u0431\u0449\u0438\u043b\u0430 \u043e \u0444\u043e\u0440\u043c\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0438 \u043f\u0435\u0440\u0432\u044b\u0445 \u0441\u0442\u0430\u0431\u0438\u043b\u044c\u043d\u044b\u0445 \u0432\u044b\u043f\u0443\u0441\u043a\u043e\u0432 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u043e\u0432, \u043e\u0431\u0440\u0430\u0437\u0443\u044e\u0449\u0438\u0445 \u043f\u0440\u043e\u0435\u043a\u0442 Sigstore, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043e\u0431\u044a\u044f\u0432\u043b\u0435\u043d \u043f\u0440\u0438\u0433\u043e\u0434\u043d\u044b\u043c \u0434\u043b\u044f \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f \u0440\u0430\u0431\u043e\u0447\u0438\u0445 \u0432\u043d\u0435\u0434\u0440\u0435\u043d\u0438\u0439.","og:url":"https:\/\/prohoster.info\/da\/blog\/news\/obyavleno-o-gotovnosti-sistemy-kriptograficheskoj-verifikaczii-koda-sigstore","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2022-10-25T19:36:48+00:00","article:modified_time":"2022-10-25T19:36:48+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":[],"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts\/105382","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/comments?post=105382"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts\/105382\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/media?parent=105382"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/categories?post=105382"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/tags?post=105382"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
\n
Kilde: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"