{"id":115675,"date":"2024-05-10T19:52:06","date_gmt":"2024-05-10T17:52:06","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/proekt-gittuf-razvivaet-sistemu-kriptograficheskoj-zashhity-repozitoriev-git"},"modified":"2024-05-10T19:52:06","modified_gmt":"2024-05-10T17:52:06","slug":"proekt-gittuf-razvivaet-sistemu-kriptograficheskoj-zashhity-repozitoriev-git","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/proekt-gittuf-razvivaet-sistemu-kriptograficheskoj-zashhity-repozitoriev-git","title":{"rendered":"Gittuf-projektet udvikler et system til krypteret beskyttelse af Git-repositorier","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Udgaven af projektet gittuf 0.4 er tilg\u00e6ngelig, som udvikler et hierarkisk system til verifikation af indholdet i Git-repositorier, hvilket minimerer risiciene i tilf\u00e6lde af kompromittering af enkelte udviklere med adgang til repositoriet. Gittuf giver et ekstra lag af sikkerhed til Git og et s\u00e6t v\u00e6rkt\u00f8jer til at administrere n\u00f8gler for alle udviklere, der har adgang til repositoriet, samt til at fasts\u00e6tte adgangsregler til grene, tags og individuelle filer. Projektets kode er skrevet i Go og distribueres under Apache 2.0-licensen. Projektet er i aktiv udvikling og har kvalitet som en alfa-version, der er velegnet til eksperimenter, men endnu ikke klar til produktionsimplementering. <\/p>\n
Oplysninger og artefakter, der giver ekstra verifikation af \u00e6ndringer, gemmes i Git-objektlageret i et s\u00e6rskilt navnrum specifikt for gittuf, hvilket g\u00f8r det muligt at bevare bagudkompatibilitet med eksisterende v\u00e6rkt\u00f8jer og tjenester, herunder GitHub og GitLab. Ved brug af v\u00e6rkt\u00f8jer uden support for gittuf er repositoriet stadig helt tilg\u00e6ngeligt, men muligheden for udvidet verifikation af dets integritet er begr\u00e6nset. Arkitekturen af gittuf er baseret p\u00e5 velpr\u00f8vede elementer fra TUF-rammev\u00e6rket (The Update Framework), der anvendes til at beskytte opdateringsprocesser i projekter som Docker, Fuchsia, AGL (Automotive Grade Linux) og PyPI. <\/p>\n
Verifikationsmodellen i gittuf er baseret p\u00e5 anvendelsen af et hierarkisk system for tillidsspredning. Roden af tillid (root of trust) tilh\u00f8rer ejeren af repositoriet, der kan generere n\u00f8gler til udviklingsdeltagere og fastl\u00e6gge regler, hvorefter de oprettede n\u00f8gler kan anvendes. Gittuf giver mulighed for at oprette fleksible, granul\u00e6re regler, der definerer hver udviklers bef\u00f8jelser og det omr\u00e5de af repositoriet, hvor de har mulighed for at foretage \u00e6ndringer. For eksempel kan en udvikler v\u00e6re autoriseret til at oprette tags, foretage \u00e6ndringer i bestemte grene eller \u00e6ndre kun enkelte filer i repositoriet. <\/p>\n
Udviklere og de \u00e6ndringer, de foretager, identificeres ved hj\u00e6lp af n\u00f8gler og digitale signaturer. Gittuf g\u00f8r det muligt at generere nye n\u00f8gler, sikkert distribuere n\u00f8gler, udf\u00f8re periodisk rotation af n\u00f8gler, tilbagekalde kompromitterede n\u00f8gler samt administrere adgangslister (ACL) og navnerum i Git-repositorier. Gittuf f\u00f8rer ogs\u00e5 en reference-log (RSL \u2014 Reference State Log) over alle \u00e6ndringer, hvor integriteten og beskyttelsen mod manipulation bagud i tiden sikres ved hj\u00e6lp af en tr\u00e6struktur kaldet 'Merkle-tr\u00e6' \u2014 hver gren bekr\u00e6fter alle underliggende grene og knudepunkter takket v\u00e6re tr\u00e6-hashing (ved at have en endelig hash kan brugeren bekr\u00e6fte korrektheden af hele operationshistorikken samt korrektheden af tidligere tilstande). <\/p>\n
For at verificere de digitale underskrifter af commits og tags genererer og distribuerer ejeren af repositoriet offentlige n\u00f8gler, der direkte er knyttet til repositoriet. For at modvirke promovering af \u00e6ndringer af ondsindede akt\u00f8rer, der er skabt efter adgang til n\u00f8glerne til at danne digitale underskrifter for individuelle udviklere, anvendes mekanismer til tilbagekaldelse og udskiftning af n\u00f8gler. N\u00f8glerne har en begr\u00e6nset levetid og kr\u00e6ver konstant opdatering for at beskytte mod underskrivning med gamle n\u00f8gler. \n Kilde: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"