Red Hat ja Google tutvustasid Sigstore'i, teenust kodeerimise krüptograafiliseks verifitseerimiseks.

Ettevõtted Red Hat ja Google, koostöös Purdue ülikooliga, asutasid projekti Sigstore, mille eesmärk on luua tööriistu ja teenuseid tarkvara verifitseerimiseks digitaalsete allkirjade abil ning avaliku logi loomine autentsuse kinnitamiseks (transparency log). Projekt areneb Linux Foundationi mittetulundusühingu juhtimisel.

Eeldatav projekt suurendab tarkvara levitamise kanalite turvalisust ja kaitseb rünnakute eest, mis on suunatud tarkvarakomponentide ja sõltuvuste asendamisele (supply chain). Üks peamisi probleemide allikaid avatud tarkvaras on programmi saamise allika ja ehitamisprotsessi verifitseerimise keerukus. Näiteks kasutavad enamik projekte väljaande terviklikkuse kontrollimiseks räsi, kuid tihti hoitakse autentsuse kinnitamiseks vajalik teave kaitsetutes süsteemides ja avatud koodirepos, mille kompromiteerimise korral saavad ründajad vajalikud verifitseerimise failid vahetada ja halva usaldusega muudatusi sisse viia.

Vähem kui väike osa projekte kasutab digitaalallkirju väljaannete levitamisel, kuna võtmete haldamine, avatud võtmete levitamine ja kompromiteeritud võtmete tühistamine on keerulised. Tõhusaks verifitseerimiseks tuleb samuti korraldada usaldusväärne ja turvaline avatud võtmete ja kontrollsummade levitamise protsess. isegi digitaalse allkirja olemasolul ignoreerivad paljud kasutajad kontrollimise, kuna nad peavad aega kulutama verifitseerimisprotsessi õppimisele ja mõistma, milline võti on usaldusväärne.

Sigstore esitleb ennast kui Let’s Encrypti analooge koodile, pakkudes sertifikaate koodi digitaalse allkirjastamise ja automatiseeritud kontrollimise jaoks. Sigstore'i abil saavad arendajad väljastada digitaalseid allkirju rakendusega seotud artefaktide jaoks, nagu näiteks vabastamisfailid, konteineri pildid, manifeedid ja täidetavad failid. Sigstore'i eripära on see, et allkirjastamiseks kasutatud materjal kajastub muutuste eest kaitstud avalikus logis, mida saab kasutada kontrollimiseks ja auditeerimiseks.

Sigstore's kasutatakse püsivate võtmete asemel lühiajalisi ajutisi võtmeid, mis genereeritakse OpenID Connect pakkujate kinnitatud volituste alusel (võtmete genereerimise ajal tuvastab arendaja end OpenID pakkuja kaudu, sidudes selle e-posti aadressiga). Võtmete autentsus kontrollitakse avaliku keskse logi kaudu, mis võimaldab veenduda, et allkirja autor on tõepoolest see, kes ta väidab end olevat ja allkiri on genereeritud sama osaleja poolt, kes vastutas varasemate vabastuste eest.

Sigstore pakub nii valmis teenust, mida saab kohe kasutada, kui ka tööriistade komplekti, mis võimaldavad sarnaste teenuste juurutamist oma seadmetes. Teenus on tasuta kõigile arendajatele ja tarkvarapakkujatele ning on juurutatud neutraalsel platvormil — Linux Foundationi poolt. Kõik teenuse komponendid on avatud, kirjutatud Go keeles ja jagatakse Apache 2.0 litsentsi alusel.

Arendatavate komponentide hulgas võib mainida:

• Rekor — allkirjastatud digitaalse allkirjaga metainformatsiooni salvestamise logi teostus, mis kajastab teavet projektide kohta. Andmete terviklikkuse ja valeandmete tagantjärele muutmise kaitse tagamiseks kasutatakse puustruktuuri 'Merkle puu', milles iga haru verifitseerib kõik alumised harud ja sõlmed, tänu koosolekul (puustruktuuris) tehtud räsi. Omades lõplikku räsi, saab kasutaja veenduda kogu tehingute ajaloos ja ka varasemate andmebaasi olekute kehtivuses (uue andmebaasi oleku juureverifitseerimise räsi arvutatakse varasema oleku arvesse võttes). Uute kirjade verifitseerimiseks ja lisamiseks on saadaval Restful API ning ka käsurea liides.
• Fulcio (SigStore WebPKI) — süsteem sertifikaadikeskuste (Root-CA) loomiseks, mis väljastavad lühiajalisi sertifikaate e-posti põhjal, autentitud läbi OpenID Connect. Sertifikaadi kehtivusaeg on 20 minutit, mille jooksul peab arendaja suutma genereerida digiallkirja (kui sertifikaat satub hiljem kurjategija kätte, on see juba aegunud).
• Cosign (Container Signing) — tööriistade komplekt konteinerite allkirjastamiseks, allkirjade kontrollimiseks ja allkirjastatud konteinerite salvestamiseks OCI (Open Container Initiative) ühilduvatesse registritesse.

Allikas: opennet.ru