{"id":99399,"date":"2021-03-10T16:22:41","date_gmt":"2021-03-10T14:22:41","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/red-hat-i-google-predstavili-sigstore-servis-dlya-kriptograficheskoj-verifikaczii-koda"},"modified":"2021-03-10T16:22:41","modified_gmt":"2021-03-10T14:22:41","slug":"red-hat-i-google-predstavili-sigstore-servis-dlya-kriptograficheskoj-verifikaczii-koda","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/red-hat-i-google-predstavili-sigstore-servis-dlya-kriptograficheskoj-verifikaczii-koda","title":{"rendered":"Red Hat und Google haben Sigstore vorgestellt, einen Dienst zur kryptografischen Verifizierung von Code.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Die Unternehmen Red Hat und Google haben in Zusammenarbeit mit der Purdue University das Projekt Sigstore ins Leben gerufen, das darauf abzielt, Werkzeuge und Dienste zur Verifizierung von Software mittels digitaler Signaturen und zur F\u00fchrung eines \u00f6ffentlichen Logs zur Best\u00e4tigung der Authentizit\u00e4t (transparency log) zu schaffen. Das Projekt wird unter der Schirmherrschaft der Non-Profit-Organisation Linux Foundation weiterentwickelt. <\/p>\n

Das vorgeschlagene Projekt wird die Sicherheit der Verbreitungskan\u00e4le von Software erh\u00f6hen und Schutz gegen Angriffe bieten, die auf die Manipulation von Softwarekomponenten und Abh\u00e4ngigkeiten (supply chain) abzielen. Ein zentrales Sicherheitsproblem in der Open-Source-Software ist die Schwierigkeit, die Quelle des Programms zu \u00fcberpr\u00fcfen und den Build-Prozess zu verifizieren. Zum Beispiel nutzen die meisten Projekte zur \u00dcberpr\u00fcfung der Integrit\u00e4t von Releases Hashes, doch oft werden die f\u00fcr die Authentifizierung erforderlichen Informationen in unsicheren Systemen und in gemeinsamen Code-Repositories aufbewahrt, deren Kompromittierung es Angreifern erm\u00f6glicht, die zur Verifizierung notwendigen Dateien zu manipulieren und ohne Verdacht sch\u00e4dliche \u00c4nderungen einzuf\u00fchren. <\/p>\n

Lediglich ein geringer Teil der Projekte verwendet digitale Signaturen beim Verbreiten von Releases, da es Schwierigkeiten beim Schl\u00fcsselmanagement, der Verbreitung \u00f6ffentlicher Schl\u00fcssel und dem Widerruf kompromittierter Schl\u00fcssel gibt. Damit die Verifizierung sinnvoll ist, muss auch ein zuverl\u00e4ssiger und sicherer Prozess zur Verbreitung \u00f6ffentlicher Schl\u00fcssel und Pr\u00fcfziffern organisiert werden. Selbst bei Vorhandensein einer digitalen Signatur ignorieren viele Benutzer die \u00dcberpr\u00fcfung, da sie Zeit aufwenden m\u00fcssen, um den Verifizierungsprozess zu verstehen und herauszufinden, welcher Schl\u00fcssel vertrauensw\u00fcrdig ist. <\/p>\n

Sigstore wird als das \u00c4quivalent von Let’s Encrypt f\u00fcr Code vorgestellt, das Zertifikate f\u00fcr die Best\u00e4tigung von Code mit digitalen Signaturen bereitstellt und Werkzeuge zur Automatisierung der \u00dcberpr\u00fcfung bietet. Mit Sigstore k\u00f6nnen Entwickler digitale Signaturen f\u00fcr anwendungsbezogene Artefakte erstellen, wie z. B. Release-Dateien, Container-Images, Manifeste und ausf\u00fchrbare Dateien. Ein besonderes Merkmal von Sigstore ist, dass das zur Signierung verwendete Material in einem sicheren, unver\u00e4nderbaren \u00f6ffentlichen Log reflektiert wird, das zur \u00dcberpr\u00fcfung und Auditing genutzt werden kann. <\/p>\n

Anstelle von dauerhaften Schl\u00fcsseln verwendet Sigstore kurzfristig lebende, fl\u00fcchtige Schl\u00fcssel, die auf der Grundlage von Berechtigungen generiert werden, die von OpenID Connect-Anbietern best\u00e4tigt werden (zum Zeitpunkt der Sch\u00fcsselgenerierung identifiziert sich der Entwickler \u00fcber den OpenID-Anbieter unter Verwendung seiner E-Mail-Adresse). Die Echtheit der Schl\u00fcssel wird anhand eines \u00f6ffentlichen, zentralisierten Logs \u00fcberpr\u00fcft, das sicherstellt, dass der Unterzeichner wirklich derjenige ist, f\u00fcr den er sich ausgibt, und dass die Unterschrift von demselben Teilnehmer erstellt wurde, der auch f\u00fcr fr\u00fchere Releases verantwortlich war. <\/p>\n

Sigstore bietet sowohl einen sofort nutzbaren Service als auch ein Werkzeugset, mit dem \u00e4hnliche Dienste auf eigener Hardware bereitgestellt werden k\u00f6nnen. Der Service ist kostenlos f\u00fcr alle Entwickler und Softwareanbieter und wurde auf einer neutralen Plattform \u2014 der Linux Foundation \u2014 bereitgestellt. Alle Komponenten des Services sind Open Source, in Go geschrieben und unter der Apache 2.0-Lizenz verteilt. <\/p>\n

Zu den entwickelten Komponenten geh\u00f6ren: <\/p>\n