{"id":99399,"date":"2021-03-10T16:22:41","date_gmt":"2021-03-10T14:22:41","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/red-hat-i-google-predstavili-sigstore-servis-dlya-kriptograficheskoj-verifikaczii-koda"},"modified":"2021-03-10T16:22:41","modified_gmt":"2021-03-10T14:22:41","slug":"red-hat-i-google-predstavili-sigstore-servis-dlya-kriptograficheskoj-verifikaczii-koda","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/red-hat-i-google-predstavili-sigstore-servis-dlya-kriptograficheskoj-verifikaczii-koda","title":{"rendered":"Red Hat og Google har pr\u00e6senteret Sigstore, en tjeneste til kryptografisk verifikation af kode","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Red Hat og Google har i samarbejde med Purdue Universitet grundlagt projektet Sigstore, som har til form\u00e5l at skabe v\u00e6rkt\u00f8jer og tjenester til verifikation af software ved hj\u00e6lp af digitale signaturer og f\u00f8re en offentlig log til bekr\u00e6ftelse af \u00e6gtheden (transparency log). Projektet vil udvikles under den ikke-kommercielle organisation Linux Foundation. <\/p>\n

Det foresl\u00e5ede projekt vil forbedre sikkerheden i distributionskanalerne for software og beskytte mod angreb rettet mod at \u00e6ndre softwarekomponenter og afh\u00e6ngigheder (supply chain). Et af de centrale sikkerhedsproblemer i open source-software er kompleksiteten ved at verificere kilden til programmet og forl\u00f8bet ved byggeprocessen. For eksempel bruger de fleste projekter hashes til at kontrollere integriteten af en version, men ofte er de n\u00f8dvendige oplysninger til at verificere \u00e6gtheden gemt p\u00e5 usikre systemer og i f\u00e6lles kodeopbevaringer, som kan kompromitteres af angribere, der kan \u00e6ndre de filer, der er n\u00f8dvendige for verifikationen, og uden at v\u00e6kke mistanke inds\u00e6tte ondsindede \u00e6ndringer. <\/p>\n

Kun en lille del af projekterne bruger digitale signaturer ved distribution af versioner p\u00e5 grund af udfordringerne med n\u00f8gleadministration, distribution af offentlige n\u00f8gler og tilbagekaldelse af kompromitterede n\u00f8gler. For at verifikationen skal give mening, kr\u00e6ves der ogs\u00e5 en p\u00e5lidelig og sikker proces til distribution af offentlige n\u00f8gler og checksums. Selv med en digital signatur ignorerer mange brugere verificeringen, da det kr\u00e6ver tid at s\u00e6tte sig ind i verifikationsprocessen og forst\u00e5, hvilken n\u00f8gle der er p\u00e5lidelig. <\/p>\n

Sigstore pr\u00e6senteres som et alternativ til Let's Encrypt for kode, der leverer certifikater til verifikation af kode med digitale signaturer og v\u00e6rkt\u00f8jer til automatisering af kontrol. Med Sigstore kan udviklere generere digitale signaturer for applikationsrelaterede artefakter, s\u00e5som udgivelsesfiler, containerbilleder, manifester og eksekverbare filer. En s\u00e6rlig funktion ved Sigstore er, at det materiale, der bruges til signeringen, registreres i en uforanderlig offentlig log, som kan anvendes til verifikation og revision. <\/p>\n

I stedet for permanente n\u00f8gler anvendes kortvarige ephemeral n\u00f8gler i Sigstore, som genereres baseret p\u00e5 legitimationsoplysninger bekr\u00e6ftet af OpenID Connect-udbydere (ved generering af n\u00f8gler til digital signatur identificerer udvikleren sig selv gennem en OpenID-udbyder med tilknytning til e-mail). \u00c6gtheden af n\u00f8glerne verificeres via en offentlig centraliseret log, som giver mulighed for at sikre, at underskriveren faktisk er den, han\/hun giver sig ud for at v\u00e6re, og at underskriften er danner af den samme deltager, som har ansvaret for tidligere udgivelser. <\/p>\n

Sigstore tilbyder b\u00e5de en klar service, der allerede kan anvendes, samt et v\u00e6rkt\u00f8jss\u00e6t, der muligg\u00f8r udrulning af lignende tjenester p\u00e5 ens eget udstyr. Tjenesten er gratis for alle udviklere og softwareudbydere og er udrullet p\u00e5 en neutral platform \u2014 Linux Foundation. Alle komponenter af tjenesten er \u00e5bne, skrevet i Go, og distribueres under Apache 2.0-licensen. <\/p>\n

Blandt de udviklede komponenter kan n\u00e6vnes: <\/p>\n