{"id":99399,"date":"2021-03-10T16:22:41","date_gmt":"2021-03-10T14:22:41","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/red-hat-i-google-predstavili-sigstore-servis-dlya-kriptograficheskoj-verifikaczii-koda"},"modified":"2021-03-10T16:22:41","modified_gmt":"2021-03-10T14:22:41","slug":"red-hat-i-google-predstavili-sigstore-servis-dlya-kriptograficheskoj-verifikaczii-koda","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/red-hat-i-google-predstavili-sigstore-servis-dlya-kriptograficheskoj-verifikaczii-koda","title":{"rendered":"Red Hat und Google haben Sigstore vorgestellt, einen Service zur kryptographischen Verifizierung von Code.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Die Unternehmen Red Hat und Google haben in Zusammenarbeit mit der Purdue University das Projekt Sigstore ins Leben gerufen, das darauf abzielt, Werkzeuge und Dienste zur Verifizierung von Software mithilfe digitaler Signaturen und zur F\u00fchrung eines \u00f6ffentlichen Logs zur Best\u00e4tigung der Authentizit\u00e4t (Transparency Log) zu entwickeln. Das Projekt wird unter der Schirmherrschaft der gemeinn\u00fctzigen Organisation Linux Foundation fortgef\u00fchrt. <\/p>\n

Das vorgeschlagene Projekt wird die Sicherheit der Verteilungskan\u00e4le f\u00fcr Software erh\u00f6hen und vor Angriffen sch\u00fctzen, die auf die Manipulation von Softwarekomponenten und Abh\u00e4ngigkeiten (Supply Chain) abzielen. Eine der zentralen Sicherheitsherausforderungen in der Open-Source-Software besteht in der Komplexit\u00e4t der \u00dcberpr\u00fcfung der Quelle sowie der Verifizierung des Build-Prozesses. Beispielsweise nutzen die meisten Projekte zur \u00dcberpr\u00fcfung der Integrit\u00e4t eines Releases Hashes, aber oft werden die f\u00fcr die Authentifizierung ben\u00f6tigten Informationen in unsicheren Systemen und \u00f6ffentlichen Repositories mit Code gespeichert, sodass Angreifer durch deren Kompromittierung die erforderlichen Dateien zur Verifizierung austauschen und so unbemerkt schadhafte \u00c4nderungen einf\u00fchren k\u00f6nnen. <\/p>\n

Nur ein kleiner Teil der Projekte verwendet Digitale Signaturen beim Verteilen von Releases, da das Management von Schl\u00fcsseln, die Verteilung von \u00f6ffentlichen Schl\u00fcsseln und die R\u00fccknahme kompromittierter Schl\u00fcssel komplex sind. Damit die Verifizierung sinnvoll ist, muss auch ein zuverl\u00e4ssiger und sicherer Prozess zur Verteilung von \u00f6ffentlichen Schl\u00fcsseln und Pr\u00fcfziffern organisiert werden. Selbst bei vorhandener digitaler Signatur ignorieren viele Benutzer die \u00dcberpr\u00fcfung, da sie Zeit damit verbringen m\u00fcssen, den Verifizierungsprozess zu lernen und zu verstehen, welcher Schl\u00fcssel vertrauensw\u00fcrdig ist. <\/p>\n

Sigstore wird als das Pendant zu Let\u2019s Encrypt f\u00fcr Code pr\u00e4sentiert und bietet Zertifikate zur Best\u00e4tigung von Code mit digitalen Signaturen sowie ein Toolkit zur Automatisierung der \u00dcberpr\u00fcfung an. Mit Sigstore k\u00f6nnen Entwickler digitale Signaturen f\u00fcr anwendungsbezogene Artefakte erstellen, wie z. B. Release-Dateien, Container-Images, Manifeste und ausf\u00fchrbare Dateien. Ein besonderes Merkmal von Sigstore ist, dass das verwendete Material zum Signieren in einem unver\u00e4nderlichen \u00f6ffentlichen Log reflektiert wird, das zur \u00dcberpr\u00fcfung und Audits genutzt werden kann. <\/p>\n

Anstelle von permanenten Schl\u00fcsseln verwendet Sigstore kurzlebige, ephemerale Schl\u00fcssel, die basierend auf Berechtigungen generiert werden, die von OpenID Connect-Anbietern best\u00e4tigt werden (zum Zeitpunkt der Schl\u00fcsselerzeugung zur digitalen Signatur identifiziert sich der Entwickler \u00fcber den OpenID-Anbieter mit einer E-Mail-Erkennung). Die Authentizit\u00e4t der Schl\u00fcssel wird \u00fcber ein \u00f6ffentliches zentrales Protokoll \u00fcberpr\u00fcft, das sicherstellt, dass der Unterzeichner tats\u00e4chlich die Person ist, die er vorgibt zu sein, und dass die Signatur von demselben Teilnehmer erstellt wurde, der f\u00fcr fr\u00fchere Releases verantwortlich war. <\/p>\n

Sigstore bietet sowohl einen fertigen Service, der sofort genutzt werden kann, als auch eine Sammlung von Werkzeugen, die es erm\u00f6glichen, \u00e4hnliche Dienste auf eigener Hardware bereitzustellen. Der Service ist f\u00fcr alle Entwickler und Softwareanbieter kostenlos und wird auf einer neutralen Plattform \u2014 der Linux Foundation \u2014 bereitgestellt. Alle Komponenten des Services sind Open Source, in der Programmiersprache Go geschrieben und unter der Lizenz Apache 2.0 verf\u00fcgbar. <\/p>\n

Unter den entwickelten Komponenten sind folgende hervorzuheben: <\/p>\n