{"id":115675,"date":"2024-05-10T19:52:06","date_gmt":"2024-05-10T17:52:06","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/proekt-gittuf-razvivaet-sistemu-kriptograficheskoj-zashhity-repozitoriev-git"},"modified":"2024-05-10T19:52:06","modified_gmt":"2024-05-10T17:52:06","slug":"proekt-gittuf-razvivaet-sistemu-kriptograficheskoj-zashhity-repozitoriev-git","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/proekt-gittuf-razvivaet-sistemu-kriptograficheskoj-zashhity-repozitoriev-git","title":{"rendered":"Das Projekt gittuf entwickelt ein kryptographisches Schutzsystem f\u00fcr Git-Repositories","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Die Ver\u00f6ffentlichung des Projekts gittuf 0.4 ist verf\u00fcgbar, das ein hierarchisches System zur Verifizierung von Inhalten in Git-Repositories entwickelt, um Risiken bei einer Kompromittierung einzelner Entwickler, die Zugriff auf das Repository haben, zu minimieren. Gittuf bietet eine zus\u00e4tzliche Sicherheitsebene f\u00fcr Git und ein Set von Tools zur Verwaltung der Schl\u00fcssel aller Entwickler, die Zugriff auf das Repository haben, sowie zur Regelung des Zugriffs auf Branches, Tags und einzelne Dateien. Der Code des Projekts ist in Go geschrieben und steht unter der Apache 2.0 Lizenz. Das Projekt befindet sich in aktiver Entwicklung und hat die Qualit\u00e4t einer Alpha-Version, die f\u00fcr Experimente geeignet ist, aber derzeit noch nicht f\u00fcr den produktiven Einsatz bereit ist. <\/p>\n
Informationen und Artefakte, die eine zus\u00e4tzliche Verifizierung der vorgenommenen \u00c4nderungen erm\u00f6glichen, werden in einem spezifischen Git-Objektspeicher in einem eigenen Namensraum f\u00fcr gittuf gespeichert, was die R\u00fcckw\u00e4rtskompatibilit\u00e4t mit vorhandenen Tools und Diensten, einschlie\u00dflich GitHub und GitLab, gew\u00e4hrleistet. Bei der Verwendung von Tools ohne Unterst\u00fctzung f\u00fcr gittuf bleibt das Repository vollst\u00e4ndig zug\u00e4nglich, jedoch ist die M\u00f6glichkeit zur erweiterten Verifizierung seiner Integrit\u00e4t eingeschr\u00e4nkt. Die Architektur von gittuf basiert auf bew\u00e4hrten Elementen des TUF (The Update Framework), das zum Schutz der Update-Prozesse in Projekten wie Docker, Fuchsia, AGL (Automotive Grade Linux) und PyPI eingesetzt wird. <\/p>\n
Das Verifizierungsmodell in gittuf basiert auf der Anwendung eines hierarchischen Systems zur Verteilung von Vertrauen. Der Vertrauenswurzel (root of trust) geh\u00f6rt dem Besitzer des Repositories, der Schl\u00fcssel f\u00fcr die Mitwirkenden erzeugen und Regeln festlegen kann, nach denen die erstellten Schl\u00fcssel verwendet werden d\u00fcrfen. Gittuf erm\u00f6glicht es, flexible, granulare Regeln zu erstellen, die die Berechtigungen jedes Entwicklers und den Bereich des Repositories definieren, in dem er \u00c4nderungen vornehmen kann. Zum Beispiel kann ein Entwickler autorisiert werden, Tags zu erstellen, \u00c4nderungen in bestimmten Branches vorzunehmen oder nur einzelne Dateien im Repository zu \u00e4ndern. <\/p>\n
Entwickler und die von ihnen vorgenommenen \u00c4nderungen werden durch Schl\u00fcssel und digitale Signaturen identifiziert. Gittuf erm\u00f6glicht es, neue Schl\u00fcssel zu generieren, Schl\u00fcssel sicher zu verteilen, einen regelm\u00e4\u00dfigen Schl\u00fcsselaustausch durchzuf\u00fchren, kompromittierte Schl\u00fcssel zur\u00fcckzurufen, Zugriffslisten (ACL) zu verwalten und Namensr\u00e4ume in Git-Repositorys zu steuern. Gittuf f\u00fchrt zudem ein Referenzprotokoll aller \u00c4nderungen (RSL \u2014 Reference State Log), dessen Integrit\u00e4t und Schutz vor nachtr\u00e4glicher Manipulation durch eine baumartige Struktur \u2014 den Merkle-Baum \u2014 gew\u00e4hrleistet wird, bei dem jeder Ast alle darunter liegenden \u00c4ste und Knoten durch baumartige Hashing-Verfahren verifiziert; mit einem endg\u00fcltigen Hash kann der Benutzer die Korrektheit der gesamten Betriebshistorie sowie der vergangenen Zust\u00e4nde best\u00e4tigen. <\/p>\n
Zur Verifizierung digitaler Signaturen von Commits und Tags erstellt und verteilt der Repository-Besitzer \u00f6ffentliche Schl\u00fcssel, die direkt mit dem Repository assoziiert sind. Um dem Missbrauch von \u00c4nderungen entgegenzuwirken, die nach dem Zugriff auf die Schl\u00fcssel, um digitale Signaturen bestimmter Entwickler zu erstellen, durch Angreifer vorgenommen wurden, werden Widerrufs- und Austauschmechanismen f\u00fcr Schl\u00fcssel eingesetzt. Schl\u00fcssel haben eine begrenzte Lebensdauer und erfordern regelm\u00e4\u00dfige Aktualisierungen, um zu verhindern, dass alte Schl\u00fcssel f\u00fcr die Erstellung von Signaturen verwendet werden. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"