{"id":115675,"date":"2024-05-10T19:52:06","date_gmt":"2024-05-10T17:52:06","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/proekt-gittuf-razvivaet-sistemu-kriptograficheskoj-zashhity-repozitoriev-git"},"modified":"2024-05-10T19:52:06","modified_gmt":"2024-05-10T17:52:06","slug":"proekt-gittuf-razvivaet-sistemu-kriptograficheskoj-zashhity-repozitoriev-git","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/proekt-gittuf-razvivaet-sistemu-kriptograficheskoj-zashhity-repozitoriev-git","title":{"rendered":"El proyecto gittuf desarrolla un sistema de protecci\u00f3n criptogr\u00e1fica para repositorios Git","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
La versi\u00f3n 0.4 del proyecto gittuf est\u00e1 disponible, desarrollando un sistema jer\u00e1rquico de verificaci\u00f3n del contenido de los repositorios de Git, permitiendo minimizar los riesgos en caso de compromiso de desarrolladores individuales que tienen acceso al repositorio. Gittuf proporciona una capa adicional de seguridad a Git y un conjunto de herramientas para gestionar las claves de todos los desarrolladores que tienen acceso al repositorio, as\u00ed como para establecer reglas de acceso a ramas, etiquetas y archivos individuales. El c\u00f3digo del proyecto est\u00e1 escrito en Go y se distribuye bajo la licencia Apache 2.0. El proyecto est\u00e1 en etapa de desarrollo activo y tiene la calidad de una versi\u00f3n alfa, adecuada para experimentaci\u00f3n, pero a\u00fan no lista para implementaciones en producci\u00f3n. <\/p>\n
La informaci\u00f3n y los artefactos que proporcionan una verificaci\u00f3n adicional de los cambios realizados se almacenan en un almacenamiento de objetos Git en un espacio de nombres espec\u00edfico para gittuf, lo que permite mantener la compatibilidad con las herramientas y servicios existentes, incluyendo GitHub y GitLab. Al utilizar herramientas que no son compatibles con gittuf, el repositorio sigue siendo completamente accesible, pero la capacidad de realizar una verificaci\u00f3n avanzada de su integridad est\u00e1 limitada. La arquitectura de gittuf se basa en elementos probados del marco TUF (The Update Framework), utilizado para proteger los procesos de formaci\u00f3n de actualizaciones en proyectos como Docker, Fuchsia, AGL (Automotive Grade Linux) y PyPI. <\/p>\n
El modelo de verificaci\u00f3n en gittuf se basa en la aplicaci\u00f3n de un sistema jer\u00e1rquico de distribuci\u00f3n de confianza. La ra\u00edz de confianza pertenece al propietario del repositorio, quien puede generar claves para los participantes en el desarrollo y definir las reglas seg\u00fan las cuales se pueden aplicar las claves creadas. Gittuf permite crear reglas granulares flexibles que definen las autorizaciones de cada desarrollador y el \u00e1rea del repositorio en la que tiene la capacidad de realizar cambios. Por ejemplo, un desarrollador puede estar autorizado para crear etiquetas, modificar ciertas ramas o cambiar solo archivos espec\u00edficos en el repositorio. <\/p>\n
Los desarrolladores y los cambios que implementan se identifican mediante claves y firmas digitales. Gittuf permite generar nuevas claves, distribuirlas de forma segura, realizar la rotaci\u00f3n peri\u00f3dica de claves, revocar claves comprometidas, gestionar listas de acceso (ACL) y espacios de nombres en repositorios Git. Gittuf tambi\u00e9n lleva un registro de referencia de todos los cambios (RSL \u2014 Registro de Estado de Referencia), y la integridad y protecci\u00f3n contra manipulaciones retroactivas se garantizan mediante una estructura jer\u00e1rquica de \u00e1rbol de Merkle, donde cada rama verifica todas las ramas y nodos subordinados gracias a la hashificaci\u00f3n jer\u00e1rquica (con un hash final, el usuario puede verificar la correcci\u00f3n de toda la historia de operaciones, as\u00ed como la validez de los estados anteriores). <\/p>\n
Para verificar las firmas digitales de commits y etiquetas, el propietario del repositorio genera y distribuye claves p\u00fablicas que est\u00e1n directamente asociadas al repositorio. Para contrarrestar la promoci\u00f3n de cambios malintencionados realizados despu\u00e9s de obtener acceso a las claves para generar firmas digitales de desarrolladores individuales, se aplican mecanismos de revocaci\u00f3n y reemplazo de claves. Las claves tienen un tiempo de vida limitado y requieren actualizaciones constantes para protegerse contra la firma con claves antiguas. \n Fuente: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"