{"id":104805,"date":"2022-08-09T15:37:11","date_gmt":"2022-08-09T13:37:11","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-npm-planiruyut-ispolzovat-sigstore-dlya-podtverzhdeniya-podlinnosti-paketov"},"modified":"2022-08-09T15:37:11","modified_gmt":"2022-08-09T13:37:11","slug":"v-npm-planiruyut-ispolzovat-sigstore-dlya-podtverzhdeniya-podlinnosti-paketov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/v-npm-planiruyut-ispolzovat-sigstore-dlya-podtverzhdeniya-podlinnosti-paketov","title":{"rendered":"In NPM plant man, Sigstore zur Best\u00e4tigung der Authentizit\u00e4t von Paketen zu verwenden.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
GitHub hat einen Vorschlag zur Diskussion gestellt, um den Sigstore-Dienst zur Verifizierung von Paketen mittels digitaler Signaturen und zur F\u00fchrung eines \u00f6ffentlichen Logs zur Best\u00e4tigung der Authentizit\u00e4t bei der Verbreitung von Releases einzuf\u00fchren. Der Einsatz von Sigstore erm\u00f6glicht es, eine zus\u00e4tzliche Schutzebene gegen Angriffe zu implementieren, die auf die Manipulation von Softwarekomponenten und Abh\u00e4ngigkeiten (Supply Chain) abzielen. So wird beispielsweise die eingef\u00fchrte \u00c4nderung den Quellcode von Projekten sch\u00fctzen, falls das Konto eines Entwicklers einer der Abh\u00e4ngigkeiten in NPM kompromittiert wird und ein Angreifer ein Paketupdate mit sch\u00e4dlichem Code erstellt. <\/p>\n
Dank einem neuen Schutzniveau k\u00f6nnen Entwickler das erstellte Paket an den verwendeten Quellcode und die Build-Umgebung binden. So haben die Benutzer die M\u00f6glichkeit, sicherzustellen, dass der Inhalt des Pakets mit dem Inhalt der Quelltexte im Haupt-Repository des Projekts \u00fcbereinstimmt. Die Verwendung von Sigstore vereinfacht den Umgang mit Schl\u00fcsseln erheblich und beseitigt die Herausforderungen bei der Registrierung, Widerruf und Verwaltung kryptografischer Schl\u00fcssel. Sigstore wird als das Pendant zu Let's Encrypt f\u00fcr Code angesehen, das Zertifikate zur Best\u00e4tigung von Code durch digitale Signaturen sowie Werkzeuge zur Automatisierung der \u00dcberpr\u00fcfung bereitstellt. <\/p>\n
Anstelle von dauerhaften Schl\u00fcsseln werden in Sigstore kurzlebige, ephemeral Schl\u00fcssel verwendet, die auf Basis von Berechtigungen generiert werden. Das f\u00fcr die Signatur verwendete Material wird in einem unver\u00e4nderbaren \u00f6ffentlichen Logbuch protokolliert, das sicherstellt, dass der Unterzeichner tats\u00e4chlich die Person ist, f\u00fcr die er sich ausgibt, und dass die Signatur von demselben Teilnehmer erstellt wurde, der auch f\u00fcr fr\u00fchere Releases verantwortlich war. Um die Integrit\u00e4t zu gew\u00e4hrleisten und Datenmanipulationen r\u00fcckblickend zu verhindern, kommt eine baumartige Struktur, das \"Merkle-Baum\", zum Einsatz, in der jeder Ast alle darunter liegenden \u00c4ste und Knoten durch gemeinsames (baumartiges) Hashing verifiziert. Mit dem endg\u00fcltigen Hash kann der Benutzer die Richtigkeit der gesamten Transaktionshistorie sowie die Korrektheit der fr\u00fcheren Datenbankzust\u00e4nde \u00fcberpr\u00fcfen (der Wurzel-\u00dcberpr\u00fcfungs-Hash des neuen Zustands wird in Bezug auf den vorherigen Zustand berechnet). \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"