La empresa Google ha anunciado la formaci\u00f3n de las primeras versiones estables de los componentes que forman el proyecto Sigstore, el cual se declara apto para crear implementaciones funcionales. Sigstore desarrolla herramientas y servicios para la verificaci\u00f3n de software mediante firmas digitales y el mantenimiento de un registro p\u00fablico que confirma la autenticidad de los cambios (transparency log). El proyecto se desarrolla bajo la \u00e9gida de la organizaci\u00f3n sin fines de lucro Linux Foundation, junto con las empresas Google, Red Hat, Cisco, VMware, GitHub y HP Enterprise, con la participaci\u00f3n de OpenSSF (Open Source Security Foundation) y la Universidad de Purdue. <\/p>\n
Sigstore se puede considerar como un an\u00e1logo a Let's Encrypt para el c\u00f3digo, proporcionando certificados para la validaci\u00f3n de c\u00f3digo mediante firmas digitales y herramientas para automatizar la verificaci\u00f3n. Con Sigstore, los desarrolladores podr\u00e1n generar firmas digitales para artefactos relacionados con la aplicaci\u00f3n, como archivos de lanzamiento, im\u00e1genes de contenedor, manifiestos y archivos ejecutables. El material utilizado para la firma se refleja en un registro p\u00fablico inalterable que se puede utilizar para verificaci\u00f3n y auditor\u00eda. <\/p>\n
En lugar de claves permanentes, Sigstore utiliza claves ef\u00edmeras de corta duraci\u00f3n, que se generan en funci\u00f3n de las credenciales confirmadas por proveedores de OpenID Connect (en el momento de generar las claves necesarias para crear una firma digital, el desarrollador se identifica a trav\u00e9s de un proveedor de OpenID vinculado a su correo electr\u00f3nico). La autenticidad de las claves se verifica a trav\u00e9s de un registro p\u00fablico centralizado, que permite asegurarse de que el firmante es quien dice ser y que la firma fue realizada por el mismo participante responsable de las versiones anteriores. <\/p>\n
La disposici\u00f3n de Sigstore para la implementaci\u00f3n se debe a la creaci\u00f3n de versiones de dos componentes clave: Rekor 1.0 y Fulcio 1.0, cuyas interfaces de programaci\u00f3n se han declarado estables y seguir\u00e1n manteniendo la compatibilidad hacia atr\u00e1s. Los componentes del servicio est\u00e1n escritos en el lenguaje Go y se distribuyen bajo la licencia Apache 2.0. <\/p>\n
El componente Rekor contiene la implementaci\u00f3n de un registro para almacenar metadatos validados con firmas digitales que reflejan informaci\u00f3n sobre los proyectos. Para garantizar la integridad y protecci\u00f3n contra la alteraci\u00f3n de datos retroactivamente, se utiliza una estructura arb\u00f3rea llamada \"\u00e1rbol de Merkle\" (Merkle Tree), donde cada rama verifica todas las ramas y nodos inferiores gracias a un hash conjunto (en \u00e1rbol). Al tener un hash final, el usuario puede asegurarse de la correcci\u00f3n de toda la historia de operaciones, as\u00ed como de los estados anteriores de la base de datos (el hash de verificaci\u00f3n ra\u00edz del nuevo estado de la base de datos se calcula con respecto al estado anterior). Para la verificaci\u00f3n y adici\u00f3n de nuevos registros, se proporciona una API RESTful, as\u00ed como una interfaz de l\u00ednea de comandos. <\/p>\n
El componente Fulcio (SigStore WebPKI) incluye un sistema para crear autoridades certificadoras (CA ra\u00edz) que emiten certificados de corta duraci\u00f3n basados en el correo electr\u00f3nico, autenticado a trav\u00e9s de OpenID Connect. La vida \u00fatil del certificado es de 20 minutos, durante los cuales el desarrollador debe generar una firma digital (si el certificado cae en manos de un atacante m\u00e1s tarde, ya habr\u00e1 expirado). Adem\u00e1s, el proyecto est\u00e1 desarrollando herramientas de Cosign (Firmado de Contenedores), destinadas a generar firmas para contenedores, verificar firmas y almacenar contenedores firmados en repositorios compatibles con OCI (Open Container Initiative). <\/p>\n
La implementaci\u00f3n de Sigstore permite aumentar la seguridad de los canales de distribuci\u00f3n de software y protegerse contra ataques dirigidos a la sustituci\u00f3n de bibliotecas y dependencias (supply chain). Uno de los problemas clave de seguridad en el software de c\u00f3digo abierto es la dificultad para verificar la fuente de obtenci\u00f3n del programa y la verificaci\u00f3n del proceso de compilaci\u00f3n. Por ejemplo, para comprobar la integridad de un lanzamiento, la mayor\u00eda de los proyectos utilizan hashes, pero a menudo la informaci\u00f3n necesaria para comprobar la autenticidad se almacena en sistemas no protegidos y en repositorios de c\u00f3digo p\u00fablicos, lo que puede resultar en que los atacantes sustituyan los archivos necesarios para la verificaci\u00f3n y, sin levantar sospechas, introduzcan cambios maliciosos. <\/p>\n
La implementaci\u00f3n de firmas digitales para la verificaci\u00f3n de lanzamientos a\u00fan no ha logrado una adopci\u00f3n generalizada debido a las dificultades en la gesti\u00f3n de claves, la distribuci\u00f3n de claves p\u00fablicas y la revocaci\u00f3n de claves comprometidas. Para que la verificaci\u00f3n tenga sentido, es necesario organizar un proceso confiable y seguro para la distribuci\u00f3n de claves p\u00fablicas y sumas de verificaci\u00f3n. Incluso con una firma digital, muchos usuarios ignoran la verificaci\u00f3n porque deben invertir tiempo en aprender el proceso de verificaci\u00f3n y entender qu\u00e9 clave es digna de confianza. El proyecto Sigstore intenta simplificar y automatizar estos procesos, proporcionando una soluci\u00f3n lista y verificada. \u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Google \u0441\u043e\u043e\u0431\u0449\u0438\u043b\u0430 \u043e \u0444\u043e\u0440\u043c\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0438 \u043f\u0435\u0440\u0432\u044b\u0445 \u0441\u0442\u0430\u0431\u0438\u043b\u044c\u043d\u044b\u0445 \u0432\u044b\u043f\u0443\u0441\u043a\u043e\u0432 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u043e\u0432, \u043e\u0431\u0440\u0430\u0437\u0443\u044e\u0449\u0438\u0445 \u043f\u0440\u043e\u0435\u043a\u0442 Sigstore, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043e\u0431\u044a\u044f\u0432\u043b\u0435\u043d \u043f\u0440\u0438\u0433\u043e\u0434\u043d\u044b\u043c \u0434\u043b\u044f \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f \u0440\u0430\u0431\u043e\u0447\u0438\u0445 \u0432\u043d\u0435\u0434\u0440\u0435\u043d\u0438\u0439. Sigstore \u0440\u0430\u0437\u0432\u0438\u0432\u0430\u0435\u0442 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u044b \u0438 \u0441\u0435\u0440\u0432\u0438\u0441\u044b \u0434\u043b\u044f \u0432\u0435\u0440\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u043d\u043e\u0433\u043e \u043e\u0431\u0435\u0441\u043f\u0435\u0447\u0435\u043d\u0438\u044f \u043f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 \u0446\u0438\u0444\u0440\u043e\u0432\u044b\u0445 \u043f\u043e\u0434\u043f\u0438\u0441\u0435\u0439 \u0438 \u0432\u0435\u0434\u0435\u043d\u0438\u044f \u043f\u0443\u0431\u043b\u0438\u0447\u043d\u043e\u0433\u043e \u043b\u043e\u0433\u0430, \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0436\u0434\u0430\u044e\u0449\u0435\u0433\u043e \u043f\u043e\u0434\u043b\u0438\u043d\u043d\u043e\u0441\u0442\u044c \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u0439 (transparency log). \u041f\u0440\u043e\u0435\u043a\u0442 \u0440\u0430\u0437\u0432\u0438\u0432\u0430\u0435\u0442\u0441\u044f \u043f\u043e\u0434 \u044d\u0433\u0438\u0434\u043e\u0439 \u043d\u0435\u043a\u043e\u043c\u043c\u0435\u0440\u0447\u0435\u0441\u043a\u043e\u0439 \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u0430\u0446\u0438\u0438 Linux Foundation \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u044f\u043c\u0438 Google, Red Hat, Cisco, vmWare, […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-105382","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Se ha anunciado la disponibilidad del sistema de verificaci\u00f3n criptogr\u00e1fica de c\u00f3digo Sigstore | ProHoster","description":"La compa\u00f1\u00eda Google ha anunciado la formaci\u00f3n de los primeros lanzamientos estables de los componentes que conforman el proyecto Sigstore, que ha sido declarado adecuado para crear implementaciones operativas.","canonical_url":"https:\/\/prohoster.info\/es\/blog\/news\/obyavleno-o-gotovnosti-sistemy-kriptograficheskoj-verifikaczii-koda-sigstore","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"es_ES","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041e\u0431\u044a\u044f\u0432\u043b\u0435\u043d\u043e \u043e \u0433\u043e\u0442\u043e\u0432\u043d\u043e\u0441\u0442\u0438 \u0441\u0438\u0441\u0442\u0435\u043c\u044b \u043a\u0440\u0438\u043f\u0442\u043e\u0433\u0440\u0430\u0444\u0438\u0447\u0435\u0441\u043a\u043e\u0439 \u0432\u0435\u0440\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u043a\u043e\u0434\u0430 Sigstore | ProHoster","og:description":"\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Google \u0441\u043e\u043e\u0431\u0449\u0438\u043b\u0430 \u043e \u0444\u043e\u0440\u043c\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0438 \u043f\u0435\u0440\u0432\u044b\u0445 \u0441\u0442\u0430\u0431\u0438\u043b\u044c\u043d\u044b\u0445 \u0432\u044b\u043f\u0443\u0441\u043a\u043e\u0432 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u043e\u0432, \u043e\u0431\u0440\u0430\u0437\u0443\u044e\u0449\u0438\u0445 \u043f\u0440\u043e\u0435\u043a\u0442 Sigstore, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043e\u0431\u044a\u044f\u0432\u043b\u0435\u043d \u043f\u0440\u0438\u0433\u043e\u0434\u043d\u044b\u043c \u0434\u043b\u044f \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f \u0440\u0430\u0431\u043e\u0447\u0438\u0445 \u0432\u043d\u0435\u0434\u0440\u0435\u043d\u0438\u0439.","og:url":"https:\/\/prohoster.info\/es\/blog\/news\/obyavleno-o-gotovnosti-sistemy-kriptograficheskoj-verifikaczii-koda-sigstore","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2022-10-25T19:36:48+00:00","article:modified_time":"2022-10-25T19:36:48+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":[],"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/105382","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/comments?post=105382"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/105382\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/media?parent=105382"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/categories?post=105382"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/tags?post=105382"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
\n
Fuente: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"