{"id":99399,"date":"2021-03-10T16:22:41","date_gmt":"2021-03-10T14:22:41","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/red-hat-i-google-predstavili-sigstore-servis-dlya-kriptograficheskoj-verifikaczii-koda"},"modified":"2021-03-10T16:22:41","modified_gmt":"2021-03-10T14:22:41","slug":"red-hat-i-google-predstavili-sigstore-servis-dlya-kriptograficheskoj-verifikaczii-koda","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/red-hat-i-google-predstavili-sigstore-servis-dlya-kriptograficheskoj-verifikaczii-koda","title":{"rendered":"Red Hat y Google presentan Sigstore, un servicio para la verificaci\u00f3n criptogr\u00e1fica de c\u00f3digo","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Las empresas Red Hat y Google, junto con la Universidad de Purdue, han fundado el proyecto Sigstore, con el objetivo de crear herramientas y servicios para la verificaci\u00f3n de software mediante firmas digitales y el mantenimiento de un registro p\u00fablico para confirmar la autenticidad (transparency log). El proyecto se desarrollar\u00e1 bajo la \u00e9gida de la organizaci\u00f3n sin \u00e1nimo de lucro Linux Foundation. <\/p>\n
El proyecto propuesto permitir\u00e1 mejorar la seguridad de los canales de distribuci\u00f3n de software y protegerse contra ataques dirigidos a sustituir componentes y dependencias del software (supply chain). Uno de los problemas clave de seguridad en el software de c\u00f3digo abierto es la dificultad para verificar la fuente de obtenci\u00f3n del programa y certificar el proceso de compilaci\u00f3n. Por ejemplo, para comprobar la integridad de un lanzamiento, la mayor\u00eda de los proyectos utilizan hashes, pero a menudo la informaci\u00f3n necesaria para la verificaci\u00f3n se almacena en sistemas no seguros y en repositorios de c\u00f3digo compartidos, lo que permite que los atacantes sustituyan los archivos necesarios para la verificaci\u00f3n y, sin levantar sospechas, introduzcan cambios maliciosos. <\/p>\n
Solo una peque\u00f1a parte de los proyectos utiliza firmas digitales al distribuir lanzamientos debido a las dificultades en la gesti\u00f3n de claves, distribuci\u00f3n de claves p\u00fablicas y revocaci\u00f3n de claves comprometidas. Para que la verificaci\u00f3n tenga sentido, tambi\u00e9n se requiere organizar un proceso confiable y seguro para la distribuci\u00f3n de claves p\u00fablicas y sumas de verificaci\u00f3n. Incluso con la existencia de una firma digital, muchos usuarios ignoran la verificaci\u00f3n, ya que deben invertir tiempo en estudiar el proceso de verificaci\u00f3n y entender qu\u00e9 clave merece confianza. <\/p>\n
Sigstore se presenta como el equivalente de Let\u2019s Encrypt para el c\u00f3digo, proporcionando certificados para la verificaci\u00f3n de c\u00f3digo mediante firmas digitales y herramientas para automatizar la verificaci\u00f3n. Con Sigstore, los desarrolladores podr\u00e1n crear firmas digitales para artefactos relacionados con la aplicaci\u00f3n, como archivos de lanzamiento, im\u00e1genes de contenedores, manifiestos y archivos ejecutables. Una caracter\u00edstica distintiva de Sigstore es que el material utilizado para la firma se refleja en un registro p\u00fablico a prueba de manipulaciones, que se puede utilizar para la verificaci\u00f3n y auditor\u00eda. <\/p>\n
En lugar de keys permanentes, Sigstore utiliza claves ef\u00edmeras de corta duraci\u00f3n que se generan en base a las credenciales confirmadas por proveedores de OpenID Connect (en el momento de la generaci\u00f3n de claves para la firma digital, el desarrollador se identifica a trav\u00e9s de un proveedor de OpenID vinculado a su email). La autenticidad de las claves se verifica a trav\u00e9s de un registro p\u00fablico centralizado, que permite confirmar que el firmante es realmente quien dice ser y que la firma fue generada por el mismo participante responsable de lanzamientos anteriores. <\/p>\n
Sigstore ofrece tanto un servicio listo para usar, como un conjunto de herramientas que permiten desplegar servicios similares en su propio hardware. El servicio es gratuito para todos los desarrolladores y proveedores de software, y est\u00e1 desplegado en una plataforma neutral \u2014 la Linux Foundation. Todos los componentes del servicio son de c\u00f3digo abierto, est\u00e1n escritos en el lenguaje Go y se distribuyen bajo la licencia Apache 2.0. <\/p>\n
De los componentes en desarrollo se pueden destacar: <\/p>\n
\n
Rekor \u2014 es una implementaci\u00f3n del registro para almacenar metadatos certificados con firmas digitales, reflejando informaci\u00f3n sobre los proyectos. Para garantizar la integridad y protecci\u00f3n contra la manipulaci\u00f3n de datos en el pasado, se utiliza una estructura arb\u00f3rea llamada '\u00c1rbol de Merkle', donde cada rama verifica todas las ramas y nodos inferiores, gracias a la hashaci\u00f3n conjunta en forma de \u00e1rbol. Con un hash final, el usuario puede asegurarse de la exactitud de toda la historia de operaciones, as\u00ed como de los estados anteriores de la base de datos (el hash de verificaci\u00f3n ra\u00edz del nuevo estado de la base se calcula teniendo en cuenta el estado anterior). Para la verificaci\u00f3n y adici\u00f3n de nuevos registros, se proporciona una API Restful, as\u00ed como una interfaz de l\u00ednea de comandos.\n
Fulcio (SigStore WebPKI) \u2014 es un sistema para crear autoridades certificadoras (Root-CA) que emiten certificados de corta duraci\u00f3n basados en el correo electr\u00f3nico, autenticados a trav\u00e9s de OpenID Connect. La vida \u00fatil del certificado es de 20 minutos, durante los cuales el desarrollador debe generar la firma digital (si el certificado cae en manos de un atacante posteriormente, ya habr\u00e1 expirado).\n
Cosign (Container Signing) \u2014 es un conjunto de herramientas para crear firmas para contenedores, verificar firmas y publicar contenedores firmados en repositorios compatibles con OCI (Open Container Initiative). <\/ul>\n