Die Linux Foundation, BastionZero und Docker haben ein neues Open-Source-Projekt namens OpenPubKey ins Leben gerufen, das ein gleichnamiges kryptografisches Protokoll zur Best\u00e4tigung von digitaler Signatur beliebiger Objekte entwickelt. Die Technologie wurde als gemeinsames Projekt der Unternehmen BastionZero und Docker entwickelt, um die Best\u00e4tigung von digitalen Signaturen f\u00fcr Docker-Images zu vereinfachen, um deren Manipulation zu verhindern und die Erstellung durch den angegebenen Ersteller zu best\u00e4tigen. Das Projekt wird auf einer neutralen Plattform unter dem Schirm der Linux Foundation weiterentwickelt, was eine Abh\u00e4ngigkeit von einzelnen kommerziellen Unternehmen ausschlie\u00dft und die Zusammenarbeit mit externen Teilnehmern erleichtert. Die Referenzimplementierung von OpenPubKey ist in Go geschrieben und wird unter der Lizenz Apache 2.0 verbreitet. <\/p>\n
Die M\u00f6glichkeiten von OpenPubKey beschr\u00e4nken sich nicht nur auf Container-Images; die Technologie kann auch verwendet werden, um die Herkunft beliebiger Ressourcen zu best\u00e4tigen, Manipulationen von Abh\u00e4ngigkeiten zu verhindern und die Sicherheit von Verbreitungskan\u00e4len f\u00fcr Datens\u00e4tze zu erh\u00f6hen. So kann die Technologie zum Beispiel zur Best\u00e4tigung von Software-Builds, einzelnen Nachrichten und Commits eingesetzt werden. F\u00fcr die Ersteller der Signaturen reicht ein Konto bei einem Dienst, der OpenID unterst\u00fctzt, w\u00e4hrend den Verbrauchern die M\u00f6glichkeit gegeben wird, angeh\u00e4ngte Signaturen zu \u00fcberpr\u00fcfen und ihre Verbindung zu der angegebenen OpenID zu best\u00e4tigen. <\/p>\n
In ihrer Funktionalit\u00e4t \u00e4hnelt OpenPubKey dem von Google entwickelten und zuvor an die Linux Foundation \u00fcbergebenen System Sigstore, unterscheidet sich jedoch erheblich durch die Vereinfachung von Implementierung, Nutzung und Wartung dank der Beseitigung zentralisierter Serverkomponenten, die f\u00fcr die F\u00fchrung eines \u00f6ffentlichen Logs zur Best\u00e4tigung der Echtheit von \u00c4nderungen (transparency log) verantwortlich sind und die Arbeit von Zertifizierungsstellen (Certificate Authority) gew\u00e4hrleisten. <\/p>\n
Statt eigene Zertifizierungsstellen zu betreiben, verwendet OpenPubKey die Authentifizierung mit der OpenID-Technologie und verkn\u00fcpft die erstellten Signaturen mit bestehenden OpenID Connect-Anbietern. Mit anderen Worten, OpenPubKey erm\u00f6glicht es, kryptografische Schl\u00fcssel spezifischen Benutzern zuzuordnen, indem OpenID Connect-Anbieter (IdP) anstelle von Zertifizierungsstellen verwendet werden. Die Technologie ist vollst\u00e4ndig kompatibel mit bestehenden OpenID-Anbietern wie GitHub, Azure\/Microsoft, Okta, OneLogin, Keycloak und Google und erfordert keine \u00c4nderungen auf deren Seite (es wird ein standardm\u00e4\u00dfiger ID-Token des Anbieters verwendet, was die Implementierung von OpenPubKey nur durch \u00c4nderungen auf der Client-Seite von OpenID Connect erm\u00f6glicht). <\/p>\n
Das vom Anbieter ausgegebene OpenID-Token wird in ein Zertifikat umgewandelt, das die Identit\u00e4t in OpenID Connect mit dem \u00f6ffentlichen Schl\u00fcssel kryptografisch bindet. Danach verwendet der Benutzer den generierten Schl\u00fcssel, um beliebige Daten zu signieren, und diese Signaturen k\u00f6nnen sp\u00e4ter auf ihre Verbindung zu der Identit\u00e4t in OpenID Connect \u00fcberpr\u00fcft werden. In OpenPubKey werden tempor\u00e4re Schl\u00fcssel verwendet, deren Lebensdauer begrenzt ist \u2014 die Schl\u00fcssel werden w\u00e4hrend der Anmeldung \u00fcber OpenID erstellt und beim Ende der Sitzung mit dem OpenID-Anbieter gel\u00f6scht. <\/p>\n
Beispielalgorithmus zur Erstellung einer Signatur mit OpenPubKey: <\/p>\n
Die Verifizierung besteht darin zu \u00fcberpr\u00fcfen, ob das angeh\u00e4ngte Token vom OpenID-Anbieter signiert wurde, und die G\u00fcltigkeit der digitalen Signatur f\u00fcr die Ressource mit dem \u00f6ffentlichen Schl\u00fcssel zu \u00fcberpr\u00fcfen, was sicherstellt, dass die Ressource mit der Identit\u00e4t aus dem Zertifikat signiert wurde und dies durch die Signatur des OpenID-Anbieters best\u00e4tigt wird. Zum Beispiel kann der Ersteller der Signatur ein vom OpenID-Anbieter Google signiertes Token erhalten, das best\u00e4tigt, dass er als bob@gmail.com verifiziert ist und den \u00f6ffentlichen Schl\u00fcssel 0x54A5\u2026FF verwendet. Wenn er dann eine Nachricht erh\u00e4lt, die mit dem gleichen Schl\u00fcssel signiert ist, kann er das vom Anbieter signierte Token verwenden, um zu \u00fcberpr\u00fcfen, dass der Schl\u00fcssel bob@gmail.com \u2014 0x54A5\u2026FF wirklich von bob@gmail.com signiert wurde. <\/p>\n
Die Vereinfachung der Architektur wurde durch bestimmte Kompromisse erreicht (z. B. Abh\u00e4ngigkeit von externen OpenID-Anbietern und das Fehlen eines \u00c4nderungsprotokolls mit hierarchischer Hashing), die in einigen Situationen akzeptabel, in anderen jedoch nicht sind. Um die Abh\u00e4ngigkeit von OpenID-Anbietern, deren Kompromittierung oder Handlungen des Personals das System diskreditieren k\u00f6nnen (zum Beispiel k\u00f6nnte ein gehackter Anbieter einen gef\u00e4lschten Schl\u00fcssel an Dritte ausgeben), zu verringern, wird vorgeschlagen, ein zus\u00e4tzliches, aber nicht obligatorisches Glied einzuf\u00fcgen: MFA-Cosigner (Multi-Factor Authentication Cosigner) f\u00fcr die Multi-Faktor-Authentifizierung (das Token muss nicht nur vom Hauptanbieter, sondern auch von einem unabh\u00e4ngigen Authentifizierungsdienst signiert werden, der den Benutzer best\u00e4tigt). <\/p>\n
Zu den Schw\u00e4chen von OpenPubKey geh\u00f6rt auch, dass Dritte Informationen erhalten k\u00f6nnen, die zur Verfolgung von Aktivit\u00e4ten \u00fcber lange Zeitr\u00e4ume hinweg genutzt werden k\u00f6nnen, unabh\u00e4ngig von Umbenennungen (erneute Nutzung des identifizierenden Tokens anstelle eines neuen Zertifikats). Die direkte Bindung an die OpenID Connect-Schl\u00fcssel bei der Verifizierung schlie\u00dft die Serverseite aus, erschwert jedoch die Implementierung auf der Clientseite erheblich und l\u00e4sst mehr Raum f\u00fcr Angriffe (Attack Surface) auf den Client, beispielsweise weil die Aufgabe der Schl\u00fcsselrotation auf dem Client lastet. Das Fehlen eines \u00c4nderungsprotokolls erm\u00f6glicht es dem Client nicht, m\u00f6gliche Schl\u00fcsselverluste zu verfolgen. Linux Foundation, BastionZero \u0438 Docker \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u0438\u043b\u0438 \u043d\u043e\u0432\u044b\u0439 \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u0439 \u043f\u0440\u043e\u0435\u043a\u0442 OpenPubKey, \u0440\u0430\u0437\u0432\u0438\u0432\u0430\u044e\u0449\u0438\u0439 \u043e\u0434\u043d\u043e\u0438\u043c\u0451\u043d\u043d\u044b\u0439 \u043a\u0440\u0438\u043f\u0442\u043e\u0433\u0440\u0430\u0444\u0438\u0447\u0435\u0441\u043a\u0438\u0439 \u043f\u0440\u043e\u0442\u043e\u043a\u043e\u043b \u0434\u043b\u044f \u0437\u0430\u0432\u0435\u0440\u0435\u043d\u0438\u044f \u0446\u0438\u0444\u0440\u043e\u0432\u043e\u0439 \u043f\u043e\u0434\u043f\u0438\u0441\u044c\u044e \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u043b\u044c\u043d\u044b\u0445 \u043e\u0431\u044a\u0435\u043a\u0442\u043e\u0432. \u0422\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u044f \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0430\u043d\u0430 \u043a\u0430\u043a \u0441\u043e\u0432\u043c\u0435\u0441\u0442\u043d\u044b\u0439 \u043f\u0440\u043e\u0435\u043a\u0442 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0439 BastionZero \u0438 Docker \u0441 \u0446\u0435\u043b\u044c\u044e \u0443\u043f\u0440\u043e\u0449\u0435\u043d\u0438\u044f \u0437\u0430\u0432\u0435\u0440\u0435\u043d\u0438\u044f \u0446\u0438\u0444\u0440\u043e\u0432\u044b\u043c\u0438 \u043f\u043e\u0434\u043f\u0438\u0441\u044f\u043c\u0438 \u043e\u0431\u0440\u0430\u0437\u043e\u0432 \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u043e\u0432 Docker \u0434\u043b\u044f \u0438\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u0438\u0445 \u043f\u043e\u0434\u043c\u0435\u043d\u044b \u0438 \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0436\u0434\u0435\u043d\u0438\u044f \u0441\u0431\u043e\u0440\u043a\u0438 \u0437\u0430\u044f\u0432\u043b\u0435\u043d\u043d\u044b\u043c \u0441\u043e\u0437\u0434\u0430\u0442\u0435\u043b\u0435\u043c. \u041f\u0440\u043e\u0435\u043a\u0442 \u0431\u0443\u0434\u0435\u0442 \u0440\u0430\u0437\u0432\u0438\u0432\u0430\u0442\u044c\u0441\u044f \u043d\u0430 \u043d\u0435\u0439\u0442\u0440\u0430\u043b\u044c\u043d\u043e\u0439 \u043f\u043b\u043e\u0449\u0430\u0434\u043a\u0435 \u043f\u043e\u0434 \u043f\u043e\u043a\u0440\u043e\u0432\u0438\u0442\u0435\u043b\u044c\u0441\u0442\u0432\u043e\u043c […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-110683","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47OpenPubKey vorgestellt, Protokoll zur kryptografischen Verifizierung von Objekten | ProHoster","description":"Die Linux Foundation, BastionZero und Docker haben ein neues Open-Source-Projekt namens OpenPubKey vorgestellt, das das gleichnamige kryptografische Protokoll zur Best\u00e4tigung digitaler Signaturen beliebiger Objekte weiterentwickelt.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/news\/predstavlen-openpubkey-protokol-kriptograficheskoj-verifikaczii-obektov","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u0435\u043d OpenPubKey, \u043f\u0440\u043e\u0442\u043e\u043a\u043e\u043b \u043a\u0440\u0438\u043f\u0442\u043e\u0433\u0440\u0430\u0444\u0438\u0447\u0435\u0441\u043a\u043e\u0439 \u0432\u0435\u0440\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u043e\u0431\u044a\u0435\u043a\u0442\u043e\u0432 | ProHoster","og:description":"Linux Foundation, BastionZero \u0438 Docker \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u0438\u043b\u0438 \u043d\u043e\u0432\u044b\u0439 \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u0439 \u043f\u0440\u043e\u0435\u043a\u0442 OpenPubKey, \u0440\u0430\u0437\u0432\u0438\u0432\u0430\u044e\u0449\u0438\u0439 \u043e\u0434\u043d\u043e\u0438\u043c\u0451\u043d\u043d\u044b\u0439 \u043a\u0440\u0438\u043f\u0442\u043e\u0433\u0440\u0430\u0444\u0438\u0447\u0435\u0441\u043a\u0438\u0439 \u043f\u0440\u043e\u0442\u043e\u043a\u043e\u043b \u0434\u043b\u044f \u0437\u0430\u0432\u0435\u0440\u0435\u043d\u0438\u044f \u0446\u0438\u0444\u0440\u043e\u0432\u043e\u0439 \u043f\u043e\u0434\u043f\u0438\u0441\u044c\u044e \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u043b\u044c\u043d\u044b\u0445 \u043e\u0431\u044a\u0435\u043a\u0442\u043e\u0432.","og:url":"https:\/\/prohoster.info\/de\/blog\/news\/predstavlen-openpubkey-protokol-kriptograficheskoj-verifikaczii-obektov","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2023-10-08T13:10:18+00:00","article:modified_time":"2023-10-08T13:10:18+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":[],"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/110683","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=110683"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/110683\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=110683"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=110683"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=110683"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
\n
Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"