In NPM plant man, Sigstore zur Bestätigung der Authentizität von Paketen zu nutzen.

GitHub hat einen Vorschlag zur Einführung des Sigstore-Dienstes zur Verifizierung von Paketen durch digitale Signaturen und zur Führung eines öffentlichen Protokolls zur Bestätigung der Authentizität bei der Verbreitung von Releases zur Diskussion gestellt. Der Einsatz von Sigstore ermöglicht einen zusätzlichen Schutz gegen Angriffe, die auf die Manipulation von Softwarekomponenten und -abhängigkeiten (Supply Chain) abzielen. Beispielsweise schützt die eingeführte Änderung die Quelltexte von Projekten im Falle einer Kompromittierung des Entwicklerkontos einer der Abhängigkeiten in NPM und der Erstellung eines Updates durch einen Angreifer mit bösartigem Code.

Dank des neuen Schutzniveaus können Entwickler das erstellte Paket an den verwendeten Quellcode und die Build-Umgebung binden und den Benutzern die Möglichkeit bieten, sicherzustellen, dass der Inhalt des Pakets mit dem Inhalt der Quelltexte im Hauptrepository des Projekts übereinstimmt. Der Einsatz von Sigstore vereinfacht den Prozess der Schlüsselverwaltung erheblich und beseitigt die Komplikationen im Zusammenhang mit Registrierung, Widerruf und Verwaltung von kryptografischen Schlüsseln. Sigstore wird als Pendant zu Let’s Encrypt für Code angesehen und bietet Zertifikate zur Beglaubigung von Code durch digitale Signaturen sowie Werkzeuge zur Automatisierung der Überprüfung.

Anstelle von permanenten Schlüsseln verwendet Sigstore kurzlebige, ephemeral Schlüssel, die basierend auf Berechtigungen generiert werden. Das zur Signatur verwendete Material wird in einem unveränderbaren öffentlichen Protokoll festgehalten, das sicherstellt, dass der Signaturgeber tatsächlich die Person ist, für die er sich ausgibt, und dass die Signatur von demselben Teilnehmer erstellt wurde, der auch für frühere Releases verantwortlich war. Zur Gewährleistung der Integrität und zum Schutz vor nachträglicher Datenmanipulation wird eine baumartige Struktur, das „Merkle-Baum“, verwendet, in der jeder Ast alle unteren Äste und Knoten durch gemeinsames (baumartiges) Hashing verifiziert. Mit dem endgültigen Hash kann der Benutzer die Richtigkeit der gesamten Transaktionshistorie sowie den korrekten Zustand der Datenbank (der Wurzel-Hash des neuen Zustands der Datenbank wird unter Berücksichtigung des vorherigen Zustands berechnet) bestätigen.

Quelle: opennet.ru